Rapport 23/2012 Anskaffelser og internkontroll i Oslo Vognselskap AS

Rapport 23/20122Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASInnholdForord.........................................................................................................................................1Hovedbudskap...........................................................................................................................5Sammendrag..............................................................................................................................51. Innledning..........................................................................................................................91.1 Prosjektets formål og problemstillinger......................................................................91.2 Avgrensninger.............................................................................................................91.3 Revisjonskriterier......................................................................................................101.4 Metode.......................................................................................................................101.5 Rapportens oppbygning.............................................................................................102. Nærmere om Oslo Vognselskap AS og MX3000 T-baneanskaffelsene.......................122.1 Oslo Vognselskap AS................................................................................................122.2 MX3000 T-baneanskaffelsene...................................................................................133. MX3000 T-baneanskaffelsene; utøvelse av opsjon, mottak og oppfølging ...............143.1 Revisjonskriterier......................................................................................................143.2 Faktabeskrivelse........................................................................................................143.3 Vurderinger................................................................................................................214. Selskapets internkontrollsystem....................................................................................234.1 Revisjonskriterier......................................................................................................234.2 Faktabeskrivelse .......................................................................................................234.3 Vurdering...................................................................................................................285. Styrets tilsynsansvar.......................................................................................................315.1 Revisjonskriterier......................................................................................................315.2 Fakta..........................................................................................................................315.3 Vurdering...................................................................................................................346. Oppsummering, konklusjon og anbefalinger...............................................................366.1 Oppsummering av sentrale vurderinger....................................................................366.2 Konklusjon...............................................................................................................376.3 Anbefalinger..............................................................................................................387. Uttalelser til rapporten og Kommunerevisjonens vurdering av disse.......................397.1 Byrådsavdeling for kultur og næring........................................................................397.2 Oslo Vognselskap AS................................................................................................397.3 Kommunerevisjonens vurdering...............................................................................40Referanser................................................................................................................................43Vedlegg 1 Revisjonskriterier...................................................................................................45Vedlegg 2 Metode.....................................................................................................................53Vedlegg 3 Høringsuttalelse Byrådsavdeling for kultur og næring......................................56Vedlegg 4 Høringsuttalelse Oslo Vognselskap AS.................................................................57Kommunerevisjonen3

Rapport 23/20124Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASHovedbudskapOslo Vognselskap AS hadde etablert rutiner ogdefinert ansvarsforhold for selskapets mottak avMX3000 T-banevogner, oppfølging av kontrakt,håndtering av endringer og fakturabehandling.Kommunerevisjonens stikkprøver viste at disseble etterlevd i de undersøkte tilfellene. EtterKommunerevisjonens vurdering var imidlertidenkelte ansvarsforhold i MX-prosjektet ikketilstrekkelig klart og entydig definert i MXprosjekthåndboken.Vognselskapet hadde etablert et internkontrollsystemmed blant annet rutiner forviktige deler av virksomhetens ansvarsområder,gjennomført risikovurderinger, fulgt opp viktigerisikoområder og rapportert jevnlig til styretom virksomhetens utvikling. Det var etterKommunerevisjonens vurdering samtidig noemangelfull skriftlighet knyttet til enkelte delerav internkontrollen.Styret hadde utarbeidet styreplaner, vedtatt etiskregelverk og gjennomført egenevalueringer.Styret var videre kjent med selskapetsetablerte internkontroll gjennom orienteringpå styremøter eller særskilt behandlingav styresaker. Selskapets oppfølging av atinternkontrollen fungerte som forutsatt, haddefrem til 2012 i stor grad vært basert på eksternrevisors gjennomgang (halvårlig revisjon,interimrevisjon og årsrevisjon), og dekketav den grunn bare deler av den etablerteinternkontrollen.SammendragI dette forvaltningsrevisjonsprosjektet harKommunerevisjonen gjennomført en utvidetselskapskontroll (forvaltningsrevisjon) av OsloVognselskap AS med fokus på anskaffelser.Vognselskapet ble opprettet i september 2006,og er 100 prosent eid av Oslo kommune.Selskapet utgjør en del av kollektivsystemet iOslo kommune, og har som formål å finansiereog anskaffe nye vogner, oppgradere eksisterendevogner, fastsette krav til vedlikeholdet avvognene, kontrollere at dette vedlikeholdetutføres på en måte som sikrer kommunensverdier, ivareta avsetninger til periodiskvedlikehold, leie ut vognene og følge oppleveransene av vogner overfor leverandørene.Vognselskapet leier ut vognparken til Ruter AS.Daværende AS Oslo Sporveier inngikk enkontrakt med Siemens AG 04.09.2003 omkjøp av 33 T-banemoduler. Det var nedfelt ikontrakten at AS Oslo Sporveier på bestemtebetingelser hadde rett til å bestille ytterligere 85T-banemoduler gjennom utøvelse av opsjoner.Totalt er det utøvd 3 opsjoner og bestilt 82moduler gjennom disse. Oslo VognselskapAS har hatt ansvar for utøvelse av de to sisteopsjonene. Beløpsmessig utgjør anskaffelseneav de nye MX T-banevognene totalt vel 5milliarder norske kroner.Formålet med undersøkelsen er å giinformasjon til kontrollutvalget og bystyret omstyringsforholdene og internkontrollen i OsloVognselskap AS med fokus på anskaffelsersamt bidra til innspill til forbedringer. Følgendeproblemstillinger er belyst i undersøkelsen:• Etterlever selskapet regelverk/retningslinjerved anskaffelser?• Har selskapet tilstrekkelig internkontrollmed anskaffelser?• Har styret i selskapet ivaretatt sitttilsynsansvar på anskaffelsesområdet?Kommunerevisjonen har sett på OsloVognselskap AS’ utøvelse av opsjon 2 og 3i henhold til kontrakten med Siemens AGom kjøp av MX3000 T-banevogner fra 2003samt vognselskapets mottakskontroll ogkontraktsoppfølging av T-banevogner utløstgjennom opsjon 2. De første T-banevogneneutløst gjennom opsjon 3, ble først mottatt i juni2012, etter at denne undersøkelsen var igangsatt.Kommunerevisjonen5

Rapport 23/2012Selskapets kjernevirksomhet er i stor gradknyttet til anskaffelser og kontraktsoppfølging.Kommunerevisjonen har derfor ikke bare sett påselskapets utøvelse av opsjoner, mottakskontrollog kontraktsoppfølging i MX3000-prosjektet,og internkontrollen med dette, men også påselskapets helhetlige internkontrollsystem.Av samme grunn har Kommunerevisjonenvalgt å se på ivaretakelsen av styrets generelletilsynsansvar og ikke bare tilsynsansvaretrelatert til anskaffelser. Undersøkelsen omfatterikke selskapets etterlevelse av lov om offentligeanskaffelser med forskrifter.Revisjonskriteriene som er benytteti denne undersøkelsen, er utledet fraulike kilder, som aksjeloven, selskapetskontrakter med Siemens AG samt etablerteprinsipper for selskapsledelse. I tillegg harKommunerevisjonen lagt anerkjent rammeverkfor internkontroll til grunn for utledning avrevisjonskriterier.Undersøkelsen er basert på gjennomgang oganalyse av relevante dokumenter som angårOslo Vognselskap AS’ utøvelse av opsjoner iMX3000 T-baneprosjektet. I tillegg er skriftligmateriale som vedrører selskapets internkontrollog styrets tilsynsansvar gjennomgått oganalysert. Informasjon er også innhentetgjennom intervju med sentrale aktører iOslo Vognselskap AS. Undersøkelsen blegjennomført i perioden mars–oktober 2012.I det følgende oppsummeresKommunerevisjonens sentrale vurderinger.Utøvelse av opsjon, mottakskontroll ogkontraktsoppfølgingDet forelå rutiner og prosedyrer forvognselskapets mottak av T-banevognerog kontraktsoppfølging av leveransenefra Siemens AG. I tillegg lå det føringerfor dette i kontrakten med Simens AS og ikontrakten med KollektivtransportproduksjonAS ved verkstedet. Det forelå også rutinerog prosedyrer for selskapets behandling avendringer. Kommunerevisjonens stikkprøverviste at disse var fulgt i praksis, og at selskapetsfakturabehandling for mottak av leveranser vari tråd med fullmaktene. Selskapet hadde etablertarbeidsdeling i den sammenheng.Etter Kommunerevisjonens vurdering varenkelte ansvarsforhold i MX-prosjektetsansvars- og myndighetsmatrise ikke tilstrekkeligentydige og klare, noe Kommunerevisjonenmener er særlig viktig i et så stort og omfattendeprosjekt som MX-prosjektet.Kommunerevisjonens gjennomgang viste atopsjonskontraktene var inngått i tråd medbetingelsene i opprinnelig kontrakt på depunktene som er vurdert, og at de var godkjentav personer i vognselskapet med nødvendigfullmakt.Selskapets internkontrollsystemDaglig leder hadde underrettet styret omvirksomhetens stilling og resultatutvikling iundersøkelsesperioden innenfor det tidsrommetaksjeloven anfører.Vognselskapet hadde etablert et styringssystemmed blant annet prosedyrer, rutiner ogmaler. Selskapet hadde også etablert et etiskregelverk. Det kunne ikke dokumenterespå undersøkelsestidspunktet at det etiskeregelverket var kommunisert til de ansatte, ellerom det ble foretatt jevnlige gjennomgangerav dette. Det vurderes også som en svakhetat selskapet ikke hadde etablert et systemsom sikret at innleide medarbeidere blegjort kjent med selskapets etiske regelverk.Vognselskapets kjernevirksomhet er anskaffelse,kontraktsoppfølging og vedlikehold. Dette erområder med iboende risiko for at ansatte blirtilbudt gaver eller andre fordeler, eller at detoppstår problemstillinger knyttet til habilitet.Etter Kommunerevisjonens vurdering haddeselskapet et bevisst og gjennomtenkt forhold tilorganisasjonens størrelse og kompetanse.6Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASSelskapet hadde etablert en rapporteringslinjehvor det ble rapportert skriftlig til daglig ledereller muntlig i ukentlige møter. Det forelåikke skriftlig referat etter de ukentlige møtene,men selskapet utarbeidet i enkelte tilfeller enskriftlig aksjonsliste. Hvis det ikke foreliggerskriftlig referat etter det ukentlige møtet, kandet i ettertid oppstå usikkerhet om hvilkeninformasjon som er gitt, og hvilke beslutningersom er truffet på det grunnlaget.Det å gjennomføre risikovurderinger er et viktigelement i et internkontrollsystem. Vognselskapetinnhentet i 2008 ekstern kompetanse til ågjennomføre en vurdering av selskapetsrisiko. Utover dette har selskapet foretattjevnlige risikovurderinger ved utarbeidelseav saksfremlegg til styrets behandling avårsrapporten. Både daglig leders og styretsvurdering var at risikobildet ikke haddeendret seg vesentlig. Vognselskapet haddeiverksatt tiltak for å følge opp risiko påpekti den eksterne gjennomgangen fra 2008, oghadde fortsatt fokus på forhold som ikke varløst. Etter Kommunerevisjonens vurderingkunne vognselskapet i sitt arbeid sørget forytterligere systematikk i sin risikohåndteringgjennom en tettere og dokumentert koblingmellom identifisert risiko, iverksatte tiltak ogvidere vurdering av om tiltakene fungerte somforutsatt.Selskapet fulgte opp virksomheten gjennomukentlige møter, skriftlige rapporter og muntligkommunikasjon. Når det gjaldt selskapetsoppfølging av at den etablerte internkontrollenfungerte som forutsatt, baserte selskapetseg i stor grad på den eksterne revisorensgjennomganger. Disse dekket ikke alle områdereller selskapets helhetlige internkontroll.Kommunerevisjonen har registrert at selskapeti januar 2012 etablerte en rutine for ledelsensårlige gjennomgang av kvalitet, ytre miljø ogHMS.Styrets tilsynsansvarStyret hadde vedtatt årlige møteplaner, ogdet fremkom tydelig hvilke saker som skullebehandles på de enkelte møtene. Styret fikkinformasjon om virksomhetens stilling ogresultatutvikling innenfor det tidsrommetaksjeloven anfører.Styret hadde vedtatt et etisk regelverk forselskapet, og et revidert regelverk skullebehandles av styret høsten 2012.Styret gjennomførte årlig egenevaluering avstyrets arbeid og kompetanse.Styret var kjent med selskapetsrisikostyringssystem.Styret hadde ikke foretatt en årlig gjennomgangav selskapets internkontrollsystem. Styretmottok informasjon om viktige delerav internkontrollen via ekstern revisorshalvårlige gjennomganger, interimsrevisjonerog revisjon av selskapets årsoppgjør.Enkelte internkontrolltiltak ble dessutenfulgt opp i særskilte styresaker, som styretsjevnlige behandling av selskapets rente- ogvalutastrategi. Dette var således viktige kilderfor styrets utøvelse av tilsynsansvaret, menikke tilstrekkelig etter Kommunerevisjonensvurdering fordi dette ikke gav et bildeav selskapets helhetlige internkontroll.Kommunerevisjonens gjennomgang har blantannet avdekket at et internkontrolltiltak somvar vedtatt av styret i 2008, ikke var iverksattsom forutsatt, uten at dette var fanget opp avstyret. Mangelfullt tilsyn fra styrets side medselskapets samlede internkontroll kan reduserestyrets muligheter for å håndtere aktuellerisikoer for selskapet og styrets muligheter til ågripe inn når det er nødvendig.Styrets redegjørelse i selskapetsårsberetninger inneholdt mye informasjonom selskapets virksomhet, men ikke særskiltinformasjon om selskapets internkontroll ogrisikostyringssystemer.Kommunerevisjonen7

Rapport 23/2012AnbefalingerPå bakgrunn av den gjennomførte undersøkelsenhar Kommunerevisjonen følgende anbefalinger:• Ansvars- og myndighetsforhold i selskapetog i MX-prosjektet bør klargjøresytterligere.• Vognselskapet bør i større grad dokumenterebehandling av saker og referatførebeslutninger.• Det bør etableres et system som sikrer atansatte og innleide medarbeidere gjøreskjent med vognselskapets etiske regelverk,og at dette dokumenteres.• Selskapet bør vurdere å innføre en tydeligeredokumentert kobling mellom identifisertrisiko, iverksatte tiltak og videre vurderingav om tiltakene fungerer som forutsatt,gjerne ved bruk av mer skjematikk, tabelleller lignende.• Vognselskapet bør sikre at det foretasjevnlige gjennomganger av selskapetshelhetlige internkontrollsystem, omnødvendig ved å videreutvikle den nyerutinen for ledelsens årlige gjennomgang avdette.Uttalelser til rapportenRapporten ble sendt byråden for kultur ognæring og Oslo Vognselskap AS til uttalelse16.11.2012. Byrådsavdeling for kultur ognæring kommenterte rapporten i brev av29.11.2012 og Oslo Vognselskap AS i brev av28.11.2012. Uttalelsene følger i sin helhet i egnevedlegg.Byrådsavdeling for kultur og næringhadde merket seg selskapets kommentarertil rapporten, og hadde ingen ytterligerekommentarer.Oslo Vognselskap AS gav uttrykk for atrapporten var et nyttig verktøy i selskapetspågående arbeid med å videreutviklevirksomheten, men mente også at rapportenvar unyansert på enkelte områder. Selskapetville iverksette tiltak på bakgrunn avrapportens anbefalinger og anga en frist fordette. Alle tiltakene var relevante i forhold tilKommunerevisjonens anbefalinger. Flere avtiltakene var allerede gjennomført.8Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS1. InnledningI dette forvaltningsrevisjonsprosjektet harKommunerevisjonen gjennomført en utvidetselskapskontroll (forvaltningsrevisjon) av OsloVognselskap AS med fokus på anskaffelser.Oslo Vognselskap AS ble opprettet etter etvedtak i Kollektivtransportproduksjon AS27.09.2006. Etableringen av vognselskapetvar en del av omorganiseringen avkollektivtrafikken som ble vedtatt av bystyreti Oslo i 2006. 1 Selskapet ble opprettetmed bakgrunn i det betydelige etterslepet ivedlikehold av og reinvesteringer i materiellsom ble konstatert ved årtusenskiftet. Bystyretønsket å etablere en selvstendig organisasjonmed et direkte ansvar for forvaltningen avOslo kommunes omfattende investeringer irullende materiell og å sikre at evnen til å fornyemateriellet ble opprettholdt.Selskapet er 100 prosent eid av Oslo kommuneog har som formål å finansiere og anskaffenye vogner, oppgradere eksisterende vogner,fastsette krav til vedlikeholdet av vognene,kontrollere at dette vedlikeholdet utføres på enmåte som sikrer kommunens verdier, ivaretaavsetninger til periodisk vedlikehold, leie utvognene og følge opp leveransene av vogneroverfor leverandørene.Vognselskapet har ansvar for å anskaffevognmateriell til kollektivtransporttjenester.Beløpsmessig utgjør anskaffelsene av de nyeMX3000 T-banevognene vel 5 milliarder norskekroner, hvor vognselskapet blant annet haddeansvar for utøvelse av to opsjoner samt formottak og oppfølging av leveransene i henholdtil kontrakt. Samtidig står vognselskapet overforanskaffelse av nye trikker. 2 Det er derfor viktigat selskapet har nødvendig kompetanse og1Bystyresak 41 av 01.03.2006 Ny organisering av Kollektivtrafikkeni Oslo, etablering av et administrassjonsselskap– Byrådssak 132 av 31.05.2005.2Saken om anskaffelse av nye trikker er foreløpig stilt ibero, jf. sak 127 av 02.11.2011 i samferdsels- og miljøkomiteenØkonomisk grunnlag for trikkeanskaffelse– byrådssak 167 av 30.06.2011.Kommunerevisjonenprosedyrer for gjennomføring av anskaffelserog for kontroll og oppfølging av leveransersamt god internkontroll. Mangelfull utøvelseav dette ansvaret kan påføre selskapet og Oslokommunes kollektivsystem vesentlige ogunødige investerings- og driftskostnader samttap av renommé.Parallelt med denne undersøkelsen harKommunerevisjonen også undersøktKollektivtransportproduksjon AS ogdatterselskapenes internkontroll med økonomiog anskaffelser med vekt på risiko formisligheter. Kommunerevisjonen har ogsågjennomført en utvidet selskapskontroll avRuter AS med fokus på selskapets internkontrollpå anskaffelsesområdet. Disse undersøkelsenerapporteres for seg.1.1 Prosjektets formål ogproblemstillingerFormålet med undersøkelsen er å giinformasjon til kontrollutvalget og bystyret omstyringsforholdene og internkontrollen i OsloVognselskap AS med fokus på anskaffelsersamt bidra til innspill til forbedringer. Følgendeproblemstillinger belyses:• Etterlever selskapet regelverk/retningslinjerved anskaffelser?• Har selskapet tilstrekkelig internkontrollmed anskaffelser?• Har styret i selskapet ivaretatt sitttilsynsansvar på anskaffelsesområdet?1.2 AvgrensningerI denne undersøkelsen har vi ikke sett påkommunens eierstyring av Oslo VognselskapAS.Vi har sett på Oslo Vognselskap AS’ utøvelseav opsjon 2 og 3 i henhold til selskapetskontrakt med Siemens AG om kjøp av MX3000T-banevogner fra 2003. Vi har ikke sett påden opprinnelige anskaffelsen av MX30009

Rapport 23/2012T-banevogner ettersom selskapet ble opprettettre år etter at den opprinnelige kontrakten bleinngått. Undersøkelsen omfatter ikke selskapetsetterlevelse av lov om offentlige anskaffelsermed forskrifter.Vi har også sett på vognselskapets mottak ogkontraktsoppfølging av T-banevogner utløstgjennom opsjon 2. De første T-banevogneneutløst gjennom opsjon 3 ble først mottatt i juni2012, etter at denne undersøkelsen var igangsatt.Selskapets kjernevirksomhet er i stor gradknyttet til anskaffelser og kontraktsoppfølging.I tillegg til å undersøke internkontrollenmed utøvelse av opsjon 2 og 3 i MXanskaffelsenog påfølgende mottakskontroll ogkontraktsoppfølging har vi undersøkt selskapetsinternkontrollsystem og styrets ivaretakelse avsitt tilsynsansvar.Vi har ikke undersøkt selskapets øvrigeanskaffelser, fordi selskapets anskaffelser iundersøkelsesperioden hovedsakelig gjelderMX-prosjektet.1.3 RevisjonskriterierRevisjonskriteriene er målestokken som liggertil grunn for Kommunerevisjonens vurderinger.Kriteriene i denne undersøkelsen er utledetfra ulike kilder, som aksjeloven, selskapetskontrakter med Siemens AG samt prinsipperfor selskapsledelse slik de er kommet til uttrykki KS Eierforum Anbefalinger om eierskap,selskapsledelse og kontroll av kommunalt/fylkeskommunalt eide selskaper og foretak ogNorsk utvalg for eierstyring og selskapsledelse.I tillegg har vi lagt det anerkjente oginternasjonale rammeverket for internkontroll,COSO – An integrated framework, til grunn forutledning av revisjonskriterier for vurdering avselskapets internkontroll.Vi har også i vår utledning av revisjonskriteriertatt hensyn til Oslo kommunes prinsipper forgod eierstyring av aksjeselskaper fremsatt ibyrådssak 273/11 av 22.12.2011. Prinsippeneble vedtatt av bystyret 25.04.2012, sak 98,og var således formelt ikke gjeldende i denperioden vi har sett på i undersøkelsen. Vi harlikevel valgt å ta med elementer fra de nyeprinsippene i vår utledning. Noen av disseprinsippene kan sies å være en formaliseringav allerede etablert praksis, samtidig som deviser hvilke forventninger eier har til styring avkommunalt eide selskaper fremover.Revisjonskriteriene er lagt frem for OsloVognselskap AS. Kriteriene er nærmerebeskrevet i rapportens vedlegg 2.1.4 MetodeUndersøkelsen er basert på gjennomgang oganalyse av relevante dokumenter som angårOslo Vognselskap AS’ utøvelse av opsjoneri MX3000-T-baneprosjektet. I tillegg har vigjennomgått og analysert skriftlig materiale somvedrører selskapets internkontroll og styretstilsynsansvar. Informasjon er også innhentetgjennom intervju med sentrale aktører i OsloVognselskap AS.Undersøkelsen ble startet opp i mars 2012og avsluttet i oktober. Hovedtyngden avdatainnsamlingen ble gjennomført i periodenfra april til juni 2012. Materiale både fraintervjuene og faktabeskrivelsen er verifisert avOslo Vognselskap AS. Nærmere redegjørelsefor metode og fremgangsmåte fremkommer avvedlegg 3.1.5 Rapportens oppbygningI kapittel 2 gir vi en nærmere beskrivelseav Oslo Vognselskap AS’ organisasjon ogvirksomhet samt av MX3000 T-baneprosjektet.I kapittel 3 ser vi nærmere på vognselskapetsetablerte rutiner for utøvelse av opsjon 2 og3, herunder også for selskapets mottak avvogner og oppfølging av kontrakt. I tilleggser vi på selskapets etterlevelse av disse. Viser på selskapets ansvars- og fullmaktsforhold10Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASog om disse etterleves i praksis. I dettekapitlet besvarer vi dermed langt på vei deto første problemstillingene i undersøkelsen.I kapittel 4 ser vi på selskapets etablerteinternkontrollsystem, og om systemetetterleves i praksis, mens vi i kapittel 5 ser omvognselskapets styre har utøvd sitt tilsynsansvar.Oppsummering, Kommunerevisjonenskonklusjoner og anbefalinger fremkommer avrapportens kapittel 6.I kapitel syv oppsummerer vi uttalelsenefra Byrådsavdeling for kultur og næring ogOslo Vognselskap AS og gir vår vurdering avvesentlige momenter i disse.I vedlegg 1 utdyper vi undersøkelsensrevisjonskriterier og redegjør for utredningenav dem. I vedlegg 2 redegjør vi nærmere forundersøkelsens fremgangsmåte og metode. Demottatte uttalelsene til rapporten følger i sinhelhet i vedlegg 3 og 4.Kommunerevisjonen11

Rapport 23/20122. Nærmere om Oslo Vognselskap AS og MX3000T-baneanskaffelsene2.1 Oslo Vognselskap ASOslo Vognselskap AS ble som nevntinnledningsvis opprettet etter et fisjonsvedtak iKollektivtransportproduksjon AS 27.09.2006.Selskapet utgjør en del av kollektivsystemeti Oslo kommune. Oslo kommune er eier avselskapet, og byråden for kultur og næringutøver eierskap av vognselskapet på vegneav kommunen. Vognselskapets oppgaveer å finansiere og anskaffe nye vogner,oppgradere eksisterende vogner, fastsettekrav til vedlikehold av vognene, kontrollereat dette vedlikeholdet utføres på en måte somsikrer kommunens verdier, ivareta avsetningertil periodisk vedlikehold, leie ut vogneneog følge opp leveransene av vogner overforleverandørene. Oslo Vognselskap AS leier utvognparken til Ruter AS basert på spesifisertevognleieavtaler.Oslo Vognselskap AS hadde i 2011 enomsetning på 485 millioner kroner og et resultatpå 54 millioner kroner. Selskapets inntekter vari hovedsak leieinntekter for utleie av rullendemateriell. De vesentligste kostnadselementenevar finanskostnader, avskrivninger og periodiskevedlikeholdskostnader for materiell. Sumanleggsmidler utgjorde ved utgangen av 20114,3 milliarder kroner.Selskapet ble ledet av et styre beståendeav tre medlemmer. Styret hadde ikkeansatterepresentanter. Det hadde vært en delutskiftninger i styret etter at selskapet bleopprettet. Nåværende styreleder har innehattdenne funksjonen siden generalforsamlingen28.03.2008. Daglig leder ble ansatt i februar2010 og kom fra stillingen som selskapetsøkonomisjef. Selskapet hadde per 31.12.2011syv fast ansatte og leide inn ekstern kompetanseved behov. Selskapet hadde en flat struktur,og alle stillingene var rapporterende enheter.Selskapets organisering følger av figur 1.Figur 1 Oslo Vognselskap AS’ organisering per 31.12.2011Kilde: Oslo Vognselskap AS’ forretnings- og virksomhetsplan 201212Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS2.2 MX3000 T-baneanskaffelseneAS Oslo Sporveier inngikk en kontrakt medSiemens AG 04.09.2003 om kjøp av 33T-banemoduler. Det var nedfelt i kontraktenat AS Oslo Sporveier på bestemte betingelserhadde rett til å bestille ytterligere 85 T-banemodulergjennom utøvelse av opsjoner. Etteropprettelsen av Oslo Vognselskap AS i 2006er det dette selskapet som har hatt ansvar forkontrakten med Siemens AG gjennom sitteier- og forvaltningsansvar. Totalt er det utøvd3 opsjoner og bestilt 82 moduler gjennomdisse. Alle bestillingene er forankret i egnebystyrevedtak. Tabell 1 gir en oversikt over deaktuelle bystyrevedtakene, bestilte moduler ogavtalte priser i millioner EURO.Tabell 1 viser at det totalt er bestilt 115 moduler(hver modul består av 3 vogner) under avtalenmed Siemens AG. Ifølge selskapets årsrapportfor 2011 utgjorde den totale kontraktsverdieni overkant av 5 milliarder norske kroner.Leveransene gikk ifølge årsrapporten etterplanen, og alle bestilte moduler som inngikki tidligere leveranseavtaler, var levert vedinngangen til 2011. Modulene som ble bestiltgjennom utøvelse av opsjon 3, skulle leveres fraog med juni 2012.I forbindelse med anskaffelsen av MX3000-modulene ble det opprettet en egenprosjektorganisasjon for MX-prosjektet somlå utenfor driftsorganisasjonen i daværendeAS Oslo Sporveier. Det ble i den forbindelseutarbeidet en egen prosjekthåndbok som itillegg til kontrakten har vært prosjektetsstyrende dokument. Prosjektorganisasjonenvar sammensatt av medarbeidere medulik fagkompetanse fra ulike selskaperi kollektivsystemet. Ved opprettelsen avOslo Vognselskap AS ble MX-prosjektetsprosjektleder og kontraktsadministratoransatt i vognselskapet, som hhv. teknisksjef og kontraktssjef. MX-prosjektetsprosjektorganisasjon eksisterte fortsatt våren2012, øvrige medlemmer er ansatt i andreselskaper.Tabell 1 Antall bestilte moduler og avtalte priser per 31.12.2011 i millioner EUROBystyresak KontraktstypeAvtaletidspunkt Ansvarlig selskap Antall EUROmoduler490/2002 Opprinnelig kontrakt 04.09.2003 AS Oslo Sporveier 33 184370/2005 Opsjon 1 29.09.2005 AS Oslo Sporveier 30 14112/2008 Opsjon 2 24.09.2008 Oslo Vognselskap AS 20 110429/2010 Opsjon 3 21.12.2010 Oslo Vognselskap AS 32 179Totalt 115 614Kilde: Aktuelle bystyresaker og signerte kontrakterKommunerevisjonen13

Rapport 23/20123. MX3000 T-baneanskaffelsene; utøvelse av opsjon, mottakog oppfølgingI dette kapitlet gjør vi rede for vår undersøkelseav MX-prosjektet. Vi har undersøkt om deter utarbeidet rutinebeskrivelse for utøvelseav opsjoner med utgangspunkt i opprinneligkontrakt og for vognselskapets mottak avT-banevogner, oppfølging av kontrakt ogendringer i kontrakten. Vi har videre undersøktvognselskapets faktiske utøvelse av opsjon 2 og3 og selskapets mottak, oppfølging og endringeri praksis. Vi har også sett på ansvars- ogmyndighetsforhold i MX-prosjektet og om disseetterleves i praksis.3.1 RevisjonskriterierVed vår vurdering av vognselskapets utøvelseav opsjon 2 og 3, mottak av T-banevogner ogoppfølging i MX-prosjektet har vi lagt følgenderevisjonskriterier til grunn:• Det bør være utarbeidet rutinebeskrivelser 3og foreligge klare ansvarsforhold forutøvelse av opsjon, mottak av T-banevognerog oppfølging av kontrakt i garantiperioden.Rutinebeskrivelsene og ansvarsforholdenebør etterleves i praksis.• Opsjonskontraktene må være inngått i trådmed betingelser i opprinnelig kontrakt mht.pris, tidsrom for utøvelse av kontrakt, antallmoduler og utbedringsgaranti.• Opsjonskontrakt må være underskrevet avpersoner med nødvendig fullmakt.• Endringer etter opprinnelig kontrakt måvære godkjent av personer med nødvendigfullmakt.3.2 Faktabeskrivelse3.2.1 Rutinebeskrivelser, ansvarsforhold ogpraksisRutinebeskrivelser, utøvelse av opsjoner,mottak og kontraktsoppfølgingProsjekthåndbokDet forelå en egen prosjekthåndbok for selveMX-prosjektet som i tillegg til kontrakten varstyrende for prosjektet. Håndboken inneholdtblant annet informasjon om prosjektets mål,gjennomføring, organisasjon og mandatsamt rutinebeskrivelser knyttet til prosjektetsmøtevirksomhet, dokumentbehandling,endringshåndtering og kommunikasjon.Prosjekthåndboken inneholdt videreinformasjon om krav til sikkerhet og oppfølgingav prosjektets økonomi samt ansvarsforhold ogstillingsinstrukser.Prosjekthåndboken som ble lagt frem foross i april 2012, var datert 27.09.2011 ogikke signert. Vi fikk i juni 2012 ettersendt enoppdatert utgave av prosjekthåndboken som varsignert og datert av daglig leder 08.06.2012.Vi ble i den sammenheng gjort oppmerksompå at det var gjort enkelte endringer i rutinerog prosedyrer i den oppdaterte utgaven. Vihar ikke sett nærmere på endringene utoverpresiseringene i fullmaktsmatrisen, jf. kapittel4.2.2.Utøvelse av opsjonDet forelå ikke rutinebeskrivelser for selveutøvelsen av opsjoner, dvs. prosedyrer for hvilkeaktiviteter selskapet skulle utføre etter at vedtakom å anskaffe flere T-banevogner gjennom brukav opsjoner forelå.3For prosesser som bare gjennomføres én eller to ganger,vil det være mer dekkende å kalle det plan eller prosedyrebeskrivelse.For enkelthets skyld har vi her kunbrukt ordet rutinebeskrivelse.14Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASMottakDet var etablert egne skriftlige prosedyrerfor kontroller ved mottak av MX3000T-banevogner: Prosedyre OS-MX-P0008Overtagelseskontroll av MX vogner.Selskapet hadde også inngått en kontrakt medKollektivtransportproduksjon AS ved verkstedetom innleie av personell fra verkstedet tilgjennomføring av mottaksaktiviteter. Hvilkekontroller som skulle utføres, var beskreveti kontraktens vedlegg. Slike kontrakter varinngått årlig i perioden 2007–2010. Vi harmottatt og gjennomgått kontrakten fra 2010som var signert 08.01.2010 og gjaldt mottak avvogner fra opsjon 2.I henhold til den opprinnelige kontrakten medSiemens AG skulle leverandøren gjennomførebestemte tester basert på en egen test- oginspeksjonsplan før vognene ble overlevertbestiller, jf. kontraktens vedlegg 5. Hvilketester som var gjennomført, og resultatet avdisse skulle registreres i et eget dokument pervognmodul: Car history book. Dette dokumentetskulle følge vognene ved overlevering og dannebasis for vognselskapets kontroll av mottatteT-banevogner. Ved mottak skulle selskapetførst kontrollere at Car history book forelå, ogat den var komplett, og gjennom stikkprøverkontrollere at tester var utført.Vognselskapet bekreftet at mottak ogoverlevering av vogner skjedde i flere steg, ogbeskrev praksis således:Første steg var overlevering fra Siemens AGtil vognselskapet. Ved denne overleveringenskulle det følge med et eget dokumentsignert av begge parter: Hand over protocol.Med denne protokollen skulle det viderefølge med en komplett liste over hva denenkelte vognen inneholdt, ovennevnte Carhistory book, serienummer på komponenter,testprosedyrer mv. for den spesielle vognen.Denne overleveringen var regulert i kontraktensartikkel 1.4.Deretter skulle Oslo T-banedrift sammen medrepresentanter fra vognselskapet gjennomføreen mottakskontroll på verkstedet på Ryen. Deto innleide personene fra verkstedsenhetenvar vognselskapets representanter ved dennekontrollen. Kontrollen skulle gjennomføres etterføringene i kontrakten mellom verkstedet ogvognselskapet, hvor det også forelå en sjekklisteper modul som skulle fylles ut, signeres ogdateres.Etter at kontrollen var gjennomført, skulledet utstedes en overtagelsesprotokoll fra OsloVognselskap AS til Oslo T-banedrift AS forbruk av vognene (overleveringserklæring) somskulle signeres av begge parter. Vognene skullederetter settes i prøvedrift i én måned.Etter at prøvedriften var gjennomført, skulledet utstedes en Assignment Protocol som skullesigneres av Siemens AG/Siemens AS og OsloVognselskap AS. Denne protokollen utløstefakturering av den leverte vognen etter énmåneds drift dersom det ikke hadde oppståttstørre feil (A-feil) i perioden. Dette var enoverlevering etter artikkel 11.9 i opprinneligkontrakt hvor eiendomsretten gikk over tilvognselskapet og betalingsforpliktelseneoppstod.KontraktsoppfølgingVognselskapet hadde utarbeidet en egenrutinebeskrivelse for oppfølging av garantisakerfor MX3000 T-banebanevogner. Prosedyrenbeskrev de konkrete garantibestemmelsene somgjaldt for MX-togenes kvalitet og prestasjoneri kontrakten mellom vognselskapet ogSiemens. Videre ble forhold som operatørenOslo T-banedrift hadde registrert og meldt tilvognselskapet, presisert slik at vognselskapetkunne fremme reklamasjonskrav mot Siemens iden aktuelle perioden.Den opprinnelige kontrakten fra 2003 behandletleverandørens garantiforpliktelser i artikkel16, 18 og 19. Førstnevnte artikkel omhandletKommunerevisjonen15

Rapport 23/2012Utbedringsgaranti. Artikkel 18 Garanti påtilgjengelighet og pålitelighet definerte hvilkegarantier som var gjeldende (teknisk garanti,systemgaranti, tilgjengelighetsgaranti ogpålitelighetsgaranti), når garantiansvaret sloinn, tidsrommet garantiansvaret var gjeldende,og hvordan garantiansvaret skulle håndteres.Kontraktens artikkel 19. Vedlikeholdsgarantibeskrev garanti knyttet til vedlikehold avvognparken.I kontraktens artikkel 18 differensiertekontrakten mellom tre ulike feilkategorier innenpålitelighetsgarantien: A-, B- og C-feil, hvorA-feil var de mest alvorlige. Kontrakten stiltevidere krav til at alle relevante feil skulleinnføres i en særskilt liste over operative feil.Vognselskapet bekreftet at alle A-, B- og C-feilble ført på en særskilt liste kalt ReliabilityVerification Report. På denne listen ble blantannet feilene beskrevet, og det fremkomom disse var kategorisert som A-, B- ellerC-feil. Videre inneholdt listen leverandørenskommentarer til feilen og informasjon omhvorvidt leverandøren aksepterte å rette denne.Vognselskapet opplyste at flere av de meldtefeilene var mindre enkeltfeil som SiemensNorge rettet umiddelbart på verkstedet ved brukav arbeidsordrer.Større feil og/eller mer systematiske“gjengangerfeil” som var registrert på dennelisten og som ikke enkelt kunne løses somgarantisak, ble videre ifølge vognselskapetregistrert i en egen liste kalt Open Item List.Hvilke feil dette gjaldt, ble diskutert ogbehandlet i samarbeidsmøter mellom SiemensNorge, Kollektivtransportproduksjon AS vedverkstedet, Oslo T-banedrift og vognselskapet.Ifølge Open Item List per mars 2012 var detregistrert 449 slike garantisaker. Sakene pådenne listen ble ifølge vognselskapet diskutertog behandlet på månedlige møter mellomvognselskapet og Siemens.Vognselskapet opplyste videre at de aller flestegarantisakene som var løftet av vognselskapet,var godtatt av leverandøren. I noen få sakerhadde det vært lengre diskusjoner. I ett av dissetilfellene var diskusjonen ifølge vognselskapetknyttet til et regresskrav på vel 7,5 millionerkroner etter noen brannepisoder (FlashoverIncidents). I dette tilfellet var det engasjert eteksternt selskap som skulle gjennomføre entredjepartsvurdering av forholdet. Saken varikke avsluttet på undersøkelsestidspunktet. Etannet eksempel gjaldt et krav fra vognselskapetpå i underkant av 1 million kroner. I dettetilfellet hadde vognselskapet gjort noenutbedringer som selskapet mente burdevært dekket av Siemens. Saken ble ifølgevognselskapet først avslått fra leverandørensside, men etter en ny runde ble kostnadenedekket fullt ut av leverandøren.Vognselskapet opplyste at trenden hadde værtpositiv ved at antall feil på vognene var redusert.Samtidig var det svært få alvorlige feil i de sisteleveransene. Vognselskapet viste til at detteblant annet fremkom av Reliability VerificationReports for hele kontraktsperioden.Ansvarsforhold i MX-prosjektetSom nevnt ovenfor inneholdt MX-prosjektetshåndbok en beskrivelse av ansvars- ogmyndighetsforhold i MX-prosjektet.Beskrivelsen viste hvilken rolle de enkelteaktørene i prosjektet hadde, om de varutfører, kontrollerer, godkjenner eller ressurs/bidragsyter, eller om de skulle informeres.Ifølge håndboken fra september 2011 haddestyreleder og daglig leder i vognselskapet rollensom godkjenner av kontrakt i MX-prosjektet,mens prosjektleder og kontraktskoordinatorhadde rollen som godkjenner av endringeri prosjektet. Vognselskapet opplyste at deto sistnevnte sammen hadde slik fullmakt,men det var ikke spesifisert i den ansvarsogmyndighetsmatrisen vi mottok signert16Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS27.09.2011. Kontraktsadministrator var tildelten rolle som kontrollerer av kontrakter somskulle inngås i prosjektet, og som utfører itilknytning til endringer/tillegg i kontrakten.Ifølge MX-prosjektets stillingsinstrukserhadde kontraktsadministrator økonomiskmyndighet til å godkjenne inntil 1 millionnorske kroner sammen med prosjektleder, mensteknisk prosjektleder og sikkerhetskoordinatorikke var gitt økonomisk myndighet.Prosjektleders økonomiske myndighet varikke nærmere spesifisert i stillingsinstruksen.Prosjekthåndboken inneholdt ikke nærmereinformasjon om kontraktskoordinators rolle, ogdet forelå heller ikke stillingsinstruks for dennerollen.Vi fikk tilsendt en oppdatert utgave avprosjekthåndboken i juni 2012, godkjent avdaglig leder 08.06.2012. I denne utgaven varrollen som kontraktskoordinator tatt ut, menskontraktsadministrator fortsatt var tildelten rolle som kontrollerer av kontrakter somskulle inngås i prosjektet, og som utfører itilknytning til endringer/tillegg i kontrakten(ikke godkjenner). Vognselskapet opplysteat skillet mellom kontraktskoordinator ogkontraktsadministrator skriver seg fra denperioden hvor prosjektets kontraktsadministratorfungerte som daglig leder og det var innleiden ressurs for å styrke kontraktsoppfølgingen(perioden etter 27.06.2007 og frem til03.02.2010).Når det gjaldt fullmakt til å godkjenne fakturafor utbetaling i MX-prosjektet, var det ifølgedaglig leder vognselskapets generelle fullmaktsom gjaldt. Ifølge denne skulle det avtalessærskilte budsjettgrenser for de respektivebudsjettområdene. Det forelå ikke særskiltskriftlig avtalt budsjettgrense for prosjektledersgodkjenning av faktura i dette prosjektet, ogifølge vognselskapet var det således selskapetsgenerelle gjeldende fullmaktsregler som gjaldt.Både daglig leder, økonomisjef og prosjektlederopplyste at prosjektleder hadde myndighettil å godkjenne fakturaer på opptil 1 millionkroner i MX-prosjektet. Når fakturabeløpetoversteg 1 million kroner, måtte også dagligleder godkjenne fakturaene før disse ble klarertfor utbetaling i regnskapssystemet. I tilleggtil disse to måtte alle fakturaene godkjennesav vognselskapets økonomisjef. Informanteneviste til at fakturaene således alltid måtte haminimum to signaturer før de ble klarert forutbetaling i regnskapssystemet.Vi fikk opplyst at vognselskapetsadministrasjonskoordinator først mottokfakturaene. Vedkommende skannet disse inni regnskapssystemet og fordelte fakturaenetil hhv. prosjektleder, økonomisjef og dagligleder i de tilfellene hvor beløpet oversteg 1million kroner. Fakturaene ble først godkjentav prosjektleder, deretter av økonomisjef og tilsist av daglig leder, dersom beløpet oversteg1 millioner kroner. Økonomisjefen opplyste athan alltid kontrollerte at prosjektleder haddeklarert fakturaene for utbetaling i systemet,før han godkjente dem. I de tilfellene hvorbeløpet oversteg 1 million kroner, kontrollertehan til slutt at også daglig leder haddegodkjent fakturaen. Vi fikk videre opplyst atdet forelå en betalingsplan i MX-prosjektet.Betalingsplanen var utarbeidet av leverandørenbasert på kontrakten mellom Siemens ogvognselskapet, og den var godkjent av beggeparter. Leverandøren oppdaterte planen vedendringer i prosjektet. Økonomisjefen opplysteat han kontrollerte at alle innkomne fakturaervar forankret i gjeldende betalingsplan, før hangodkjente dem for utbetaling.Det var prosjektleders ansvar å kontrollerefakturaenes underlagsmateriale, herunder at deforholdene innbetalingene gjaldt, var oppfylt –for eksempel at vogner var mottatt, at endringervar utført, o.l. Prosjektleder opplyste at hanutførte slike kontroller av mottatt faktura.Økonomisjefen opplyste at han tok stikkprøverav fakturaenes underlagsmateriale.Kommunerevisjonen17

Rapport 23/2012Utøvelse av opsjon, mottak ogkontraktoppfølging i praksisVi har innhentet og gjennomgått Hand OverProtocol, overleveringserklæring og AssignmentProtocol for seks mottatte moduler fra opsjon2. Gjennomgangen viste at det for alle de seksmodulene forelå dokumentasjon som beskrevetover, at dokumentene var underskrevet avrette personer fra vognselskapets side, og at topersoner hadde signert i de dokumentene hvordet skulle foreligge to signaturer (prosjektlederog kontraktsadministrator).Vi har mottatt alle Reliability VerificationReports som var utarbeidet. Rapportene bleutarbeidet for definerte perioder, hhv. sommerogvinterperioder. Ved undersøkelses-tidspunktetforelå det til sammen syv slike rapporter.Rapportene inneholdt blant annet informasjonom registreringsnummer, vognnummer, feilenesom var identifisert, og hvor mange feil det varregistrert innenfor hver enkelte feilkategori.I tillegg kom det frem om leverandørenhadde godtatt feilene. Leverandørens ogvognselskapets kommentarer til de enkeltefeilene fremkom også. Vi har gjennomgått fireav syv rapporter, hhv. rapport nr. 1, 5, 6 og 7.Rapportene 5–7 var innenfor garantiperiodenfor opsjon 2 og dekket til sammen perioden01.04.2010–28.11.2011. Gjennomgangenviste at antall feil var redusert i den aktuelleperioden innenfor alle tre feilkategoriene, og atleverandøren hadde akseptert alle feilene somvar oppstått.Vi har også mottatt og gjennomgått den siste ogoppdaterte Open Item List. Vi ser av rapportenat det er registrert 449 saker på denne listen permars 2012. På listen var blant annet feilene oghvilken effekt de hadde for sikkerhet, nærmerebeskrevet. Videre var det beskrevet iverksattetiltak, oppgitt hvem som var ansvarlig for å retteopp feil, og registrert dato for når de enkeltesakene ble lukket.Vi har også mottatt og gjennomgåttmøtereferater med tilhørende dokumentasjon forseks tilfeldig valgte månedsmøter. Referateneviste at flere ulike saker innen ulike kategoriervar diskutert og behandlet på disse møtene,herunder saker som ikke var lukket i Open ItemList (Open Warranty items), ulike hendelser(Incidents) som hadde oppstått i perioden, m.m.Vi har mottatt og gjennomgått betalingsplanengjeldende per oktober 2012. Vi har videregjennomgått 7 av 24 behandlede fakturaeri MX-prosjektet i perioden fra 2011 til juli2012. Alle fakturaene var godkjent av hhv.prosjektleder, økonomisjef og daglig leder.3.2.2 Inngåelse av opsjonskontrakterPrisDe fleste betingelsene for å utøve opsjoner varregulert av den opprinnelige kontraktens artikkel15 Opsjoner. Begge opsjonskontraktene vistetil at bestemmelsene om priser i opprinneligkontrakt var gjeldende. I tillegg kom spesifisertoppstartsgebyr per opsjon og prisjustering somvar nærmere presisert i egne vedlegg, samtalle relevante endringer og endringsordrer sålangt i leveransene. Kontraktens Amendments54 viste hvilke endringer (Variation orders)som var relevante for prisregulering av opsjon.I tillegg kom kostnader knyttet til klargjøringog montering av bremseskinner o.l. som vardokumentert i egne vedlegg. Basert på dissevariablene fremkom det en bestemt pris i de toopsjonskontraktene.TidsromIfølge den opprinnelige kontrakten haddebestiller rett til å bestille ytterligere modulerdersom dette skjedde innen 01.06.2006.Kontrakten inneholdt samtidig en generelladgang til å avtale endringer. I avtalen frautøvelsen av opsjon 1 ble perioden for seinereutøvelser av opsjoner utvidet til 21.12.2008.Kontrakten ved utøvelse av opsjon 2 var datertog signert 24.09.2008. I avtalen fra utøvelsenav opsjon 2 ble perioden for seinere utøvelserav opsjoner utvidet til 31.12.2010. Kontraktenved utøvelse av opsjon 3 var datert og signert21.12.2010.18Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASAntallDen opprinnelige kontrakten gav bestiller rett tilå bestille ytterligere 85 T-banemoduler, fordeltpå maks 4 ganger og minimum 10 modulerhver gang. Etter utøvelse av tre opsjoner var detbestilt 82 moduler utover opprinnelig bestilling,jf. tabell 1 i kapittel 2.2.GarantiIfølge opprinnelig kontrakt utgjordeopsjonsavtalene en integrert del av kontrakten.Alle kontraktsvilkår og vedlegg i avtalenskulle også gjelde for moduler bestilt gjennomopsjoner, og alle garantiperioder skulle regnesut fra de relevante begivenhetene som fant stedinnenfor hver bestilt opsjonsserie. Dette ernærmere beskrevet i opsjonskontraktenes punkt5, som hovedsakelig omhandler endringer iulike garantiperioder i forhold til opprinneligkontrakt (garanti for system, tilgjengelighetog pålitelighet). I tillegg viste kontraktensAmendments 53 hvordan opsjonene påvirketverifikasjon av systemgaranti og pålitelighets-/tilgjengelighetsgaranti.3.2.3 Fullmakt til å inngå opsjonskontraktIfølge selskapets fullmaktshierarki, vedtatt avstyret i sak 13/10, kunne daglig leder alenesignere kontrakter med økonomiske forpliktelserpå opptil 50 millioner kroner. Sammen medstyreleder kunne daglig leder signere allekontrakter med økonomiske forpliktelser over50 millioner kroner.Vår gjennomgang av tilsendt dokumentasjonviste at begge opsjonskontraktene var signertav daglig leder og styreleder, hhv. 24.09.2008(opsjon 2) og 21.12.2010 (opsjon 3).3.2.4 Godkjenning av endringerRutiner og prosedyrerMuligheten til å gjøre endringer i henholdtil opprinnelig kontrakt var regulert avkontraktens vedlegg 7 (Appendix 7 Projectadministration, punkt 6 Change procedure).Endringshåndtering var videre behandlet i MXprosjektetsprosjekthåndbok punkt 5.3. I tillegghadde prosjektorganisasjonen utarbeidet en egenendringsprosedyre (Prosedyre OS-MX-P0005)som beskrev prosessen knyttet til utstedelseog godkjenning av endringsordrer (Variationorders) basert på kontrakten.Endringer i forhold til kontrakten ble ifølgevognselskapet definert som både Variationorders og Amendments. Variation ordersmedførte prisendringer. Endringer i førerstoleneer et eksempel i den sammenheng. Amendmentsvar endringer som ikke hadde økonomiskekonsekvenser. Eksempler på dette kunne værenavneendring eller endring i betalingsplan. EnAmendment kunne utvikle seg til en Variationorder. Per mars 2012 var det utstedt 60Variation orders og 54 Amendments.Ifølge vognselskapet kunne endringer initieresav både Siemens og vognselskapet og dessutenav operatørene. Basert på dette utarbeidetSiemens en Variation order request somfungerte som et tilbud om endring fra Siemensog dannet grunnlag for vognselskapets internebehandling. Ifølge vognselskapet skjeddebehandlingen i hovedsak i prosjektgruppa og isamarbeid med operatøren, og noen ganger ogsåi samarbeid med KollektivtransportproduksjonAS ved verkstedet. Deretter tok vognselskapetendelig stilling til tilbudet og utstedte enendringsordre, Variation order. Vognselskapetopplyste at det ofte var flere runder medkommunikasjon mellom selskapet, Siemensog de øvrige aktørene før endelig og godkjentVariation order ble tilbakesendt Siemens.Det var ifølge vognselskapet ingen selvfølgehvor kostnadene for endringen skulle ligge.Hvis operatøren hadde et behov som gav enren operatørgevinst, kunne beslutning være atoperatøren måtte betale for endringen. Ifølgeprosedyren for endringshåndtering kunneprosjektleder for begge parter signere ordrennår den var godkjent internt i vognselskapet.Vognselskapet viste til at MX-prosjektetsprosjektleder skulle signere ordren sammen medkontraktsadministrator, men det fremkom ikkeKommunerevisjonen19

Rapport 23/2012av den prosedyren vi har fått tilsendt, som vardatert 06.03.2012. Godkjenningen internt skulleforetas av teknisk prosjektleder, prosjektetssikkerhetskoordinator og jernbanetekniskmateriellsjef. Den interne godkjenningen skullefremkomme av dokumentasjonen som skullefølge hver enkelt Variation order.Vedrørende intern godkjenning differensierteprosedyren mellom når endringene måtteunderlegges full behandling, og når detkunne skje forenklet behandling av endringer.Førstnevnte gjaldt endringer som omhandletkundens kravspesifikasjon, sikkerhets- ogvedlikeholdskrav eller tekniske spesifikasjonersom var nedfelt i kontrakten. I slike tilfellerskulle endringene være godkjent internt avteknisk prosjektleder, sikkerhetskoordinator ogjernbaneteknisk materiellsjef.Vognselskapet opplyste at godkjenning avendringer fra deres side skulle skje i tråd medselskapets økonomirutiner og fullmaktsmatrise. 4Ifølge denne hadde budsjetteier/fagansvarligfullmakt til å signere avtaler/kontrakter påinntil 1 million kroner. Vognselskapet påpekteat fullmaktene til prosjektleder i MX-prosjektetsåledes var definert gjennom vedkommendesfullmakt som budsjetteier/fagansvarlig ivognselskapet. Kontraktssjef hadde ifølgeselskapets fullmaktsmatrise tilsvarendefullmakt. Vognselskapet opplyste at fullmaktenbare gjaldt om disse to signerte sammen, noesom ikke fremkom av matrisen. Videre var detikke spesifisert om fullmakten også gjaldt vedendringer i / tillegg til kontrakt. Det fremkomimidlertid av fullmaktsmatrisen atMed avtaler/kontrakter forstås enhver handlingsom innebærer en økonomisk forpliktelse forOslo Vognselskap.Ifølge ansvars- og myndighetsmatrisen iMX-prosjektets håndbok hadde, som nevntovenfor, prosjektleder og kontraktskoordinator4Siste versjon godkjent av styret i sak 213/10.myndighet til å godkjenne endringer ikontrakten. Rollen som kontraktskoordinator vartatt vekk i den oppdaterte prosjekthåndbokenfra juni 2012. Kontraktsadministrator haddeifølge myndighetsbeskrivelsen i den oppdaterteprosjekthåndboken fortsatt rollen som utfører(ikke godkjenner) ved endringer i kontrakten.Samtidig var denne rollen i stillingsinstruksentildelt en økonomisk myndighet opptil1 million kroner. Det var ikke presisert istillingsinstruksen om denne myndigheten ogsågjaldt ved endringer i kontrakten.Vognselskapet viste videre til at alle endringer(Variation orders og Amendments), samtall korrespondanse knyttet til disse, bleoppsummert i månedlige møter med SiemensAG og i månedsrapportene.Endringshåndtering i praksisVi har gjennomgått 14 tilfeldig valgteVariation orders. Fire av disse oversteg 1million kroner. Alle var signert av to personerfra Siemens AG og to fra Siemens AS. Fravognselskapets side var samtlige signert avMX-prosjektets prosjektleder og prosjektetskontraktsadministrator. En av de fireendringsordrene som oversteg 1 million kroner,var også signert av daglig leder. De tre øvrigesom oversteg 1 million kroner, var godkjenti den perioden hvor kontraktsadministratorfungerte som daglig leder.Vi har også for syv av disse sett om det varlagt ved informasjon som viste at endringenevar godkjent internt av fagfolk medsikkerhetskompetanse og teknisk kompetansefør Variation order ble signert. For tre avdisse var det lagt ved informasjon somdokumenterte at slik intern godkjenning forelå.To endringer hadde ifølge dokumentasjonsom fulgte Variation order, ikke konsekvenserfor sikkerheten. I de to siste sakene forelådet ikke signatur for at endringene vargodkjent internt før Variation Order blesignert. Vognselskapet opplyste at disse20Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASordrene omhandlet blokkering av dører forHolmenkollbanen, og at endringen først haddevært bestilt til andre moduler. Bestillingen somfremkom av de aktuelle Variation Orders, gjaldtetterbestilling av samme funksjon. Forutentilsendt dokumentasjon har vi blitt forelagten oversikt over ulike dokumenter som ifølgevognselskapet kunne dokumentere selskapetsinterne saksbehandling om forholdet.3.3 VurderingerUtøvelse av opsjon 2 og 3, mottak ogkontraktsoppfølgingDet forelå etablerte rutiner og prosedyrerfor selskapets mottak av T-banevogner ogoppfølging av kontrakt. I tillegg forelå detklare føringer i kontrakten med leverandør ogi kontrakten med KollektivtransporttjenesterAS ved verkstedet om aktiviteter som skulleutføres. Vognselskapet hadde ikke en særskiltbeskrivelse av hvilke aktiviteter som skulleutføres når det forelå en beslutning om å utøveen opsjon. Vi oppfatter at selskapet mente dettevar ivaretatt i kontrakt og fullmakter.Kommunerevisjonens stikkprøver viste atselskapets rutiner og prosedyrer for mottakav T-banevogner fungerte som forutsatt i deundersøkte tilfellene. På samme måte visteKommunerevisjonens stikkprøver at mottattefakturaer i MX-prosjektet var godkjent i trådmed vognselskapets fullmakter, det vil si atforutsatt arbeidsdeling var ivaretatt i dissetilfellene.Etter Kommunerevisjonens vurderingvar ikke enkelte ansvarsforhold som varbeskrevet i MX-prosjektets håndbok,tilstrekkelig entydige og klare. Dettegjaldt blant annet kontraktsadministratorsansvar og myndighet. Denne rollen var kunkontrollerende og utøvende, ifølge beskrivelseni prosjekthåndboken, og kunne ikke godkjenne.Men kontraktsadministrator var tildelt enøkonomisk myndighet i stillingsinstruksen.Det var også uklarheter knyttet til rollen somkontraktskoordinator i prosjektet. Denne rollenble imidlertid fjernet fra prosjekthåndboken iundersøkelsesperioden (juni 2012). Samtidigvar det ikke definert en tydelig økonomiskgrense for prosjektleders myndighet til ågodkjenne endringer/tillegg i kontrakt, ellerfor prosjektleders myndighet til å godkjenneinnkomne fakturaer.Etter Kommunerevisjonens vurdering villeMX-prosjektets og aktørenes totale ansvarsogmyndighetsforhold i prosjektet værttydeligere og mer tilgjengelig om aktørenesøkonomiske myndighet hadde fremkommet avprosjekthåndboken.Inngåelse av opsjonskontrakterOpsjonskontraktene var inngått i tråd medbetingelsene i opprinnelig kontrakt mht. pris,antall moduler og utbedringsgaranti. Medgrunnlag i en generell adgang til å avtaleendringer, ble det i to omganger avtalt nyefrister for utøvelser av opsjoner. Disse fristeneble overholdt ved inngåelse av avtaler forutøvelse av henholdsvis opsjon 2 og 3.Begge opsjonskontraktene var underskrevet itråd med gjeldende fullmakter.Godkjenning av endringerHvordan selskapet skulle håndtere endringer,fremkom av den opprinnelige kontrakten samtprosjekthåndboken og egen prosedyre. Vi visertil våre vurderinger over knyttet til uklarhetenom kontraktsadministrators myndighet til ågodkjenne endringer i MX-prosjektet.Gjennomførte stikkprøver viste at endringenevar godkjent i tråd med gjeldende fullmakter.Stikkprøver viste videre at to av syvgjennomgåtte endringer manglet signaturfor intern godkjenning i selskapet førsignering av selve ordren slik vognselskapetsprosedyre tilsa. Dette gjaldt endringer somogså hadde vært utført på tidligere moduler.Vognselskapet la frem en oversikt overKommunerevisjonen21

Rapport 23/2012skriftlig materiale som ifølge selskapet kunnedokumentere at konsekvensen av endringenepå de tidligere modulene hadde vært underlagtsikkerhetsmessige og tekniske vurderinger.Det vil si at tekniske og sikkerhetsmessigekonsekvenser av endringene som inngikk ivåre stikkprøver, skal ha vært kjent og vurderttidligere.22Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS4. Selskapets internkontrollsystemSom nevnt innledningsvis er selskapetskjernevirksomhet i stor grad knyttet tilanskaffelser og kontraktsoppfølging. I tilleggtil å undersøke internkontrollen ved utøvelse avopsjon 2 og 3 i MX-anskaffelsen og påfølgendemottakskontroll og kontraktsoppfølging, jf.kapittel 3, har vi undersøkt selskapets helhetligeinternkontrollsystem og etterlevelsen av dette ipraksis. Det er temaet for dette kapitlet.4.1 RevisjonskriterierVed vår vurdering av selskapets internkontrollhar vi lagt følgende revisjonskriterier til grunn:• Daglig leder skal minst hver fjerde måned,i møte eller skriftlig, gi styret underretningom selskapets virksomhet, stilling ogresultatutvikling.• Selskapet bør ha etablert et etterprøvbartinternkontrollsystem. Herunder bør deto være etablert et godt kontrollmiljøhvor• etiske verdier er etablert• ansvar og myndighet er tydelignedfelt og kjent i organisasjonen• selskapet har et bevisst forhold tilvirksomhetens kompetanse• hensiktsmessigerapporteringslinjer er etablerto gjennomføres jevnligerisikovurderinger, med påfølgendeiverksettelse av nødvendigekontrolltiltako kanaliseres informasjon omvirksomheten til daglig ledero gjennomføres løpende kontroll ogoppfølging av selskapets virksomhet4.2 Faktabeskrivelse4.2.1 Underretning om selskapetsvirksomhet og resultatutviklingVår gjennomgang av styreprotokoller forperioden 2007–2011 viste at det var gjennomførtrundt ti styremøter i året i perioden 2007–2010og fem styremøter i 2011, jf. tabell 2. Møtenevar avholdt med mindre enn fire månedersmellomrom.Sakene som ble gjennomgått på møtene,var kategorisert etter tre hovedtemaer: fastesaker (driftsorientering), beslutningssaker ogorienteringssaker.Daglig leder og økonomisjef opplyste at detsom hovedregel ble rapportert om regnskapog økonomi på hvert styremøte. De opplysteimidlertid at det i en periode var vanskeligå få frem god økonomiinformasjon grunnetmanglende kvalitet i leveransen av eksterneregnskapstjenester (jf. kapittel 5.2.4). Selskapetskiftet leverandør høsten 2010. Vi har gåttnærmere inn på styreprotokoller for perioden fra2010 til juni 2012 for å se hvilke protokollertesaker om regnskap og økonomi styret fikkforelagt, samt hvilken informasjon daglig lederla frem for styret under Driftsorientering idenne perioden.Vår gjennomgang av styreprotokollene viste atinformasjon om regnskap og økonomi var lagtfrem for styret som egne saker på fem av nimøter i 2010, på fire av fem møter i 2011 og påto av tre møter per juni 2012. Slik informasjonble gitt minst hver fjerde måned.Tabell 2 Antall styremøter i perioden 2007-2011Årstall 2007 2008 2009 2010 2011Antall møter 11 10 9 10 5Kilde: Styremøteprotokoller for perioden 2007-2011Kommunerevisjonen23

Rapport 23/2012Vi har gjennomgått flere økonomi- ogregnskapsrapporter som er lagt frem for styret. 5Regnskapsrapportene viste hovedsakeligregnskap mot budsjett på et overordnetnivå. Halvårsregnskapet for 2011 viste ogsåen prognose for hele regnskapsåret. I dettehalvårsregnskapet var det dessuten lagt frem entabell med regnskapsinformasjon om selskapetsulike prosjekter, herunder MX-prosjektet. Iøkonomirapporteringen var det verbal forklaringpå avvik i regnskapene.Vår gjennomgang av styreprotokollerviste videre at daglig leder hadde lagt fremmange saker om virksomheten gjennomunderkategorien Driftsorientering, blantannet om forhold knyttet til leveranser iMX-prosjektet. I tillegg fikk styret fremlagtsærskilte saker om virksomheten til behandlingog orientering, blant annet opplysninger omstatus generelt og eventuelle problemområderi dette prosjektet. Utfordringer knyttet tilvognleieprinsipper og vognleieavtaler samtselskapets tilgang til vedlikeholdsinformasjonvar eksempler på temaer som gikk igjen i densammenheng.4.2.2 Vognselskapets etablerteinternkontrollVognselskapet hadde en håndbok med rutiner ogprosedyrer. Selskapet var våren 2012 i ferd medå etablere et elektronisk styringssystem. Rutinerog prosedyrer i dette systemet skal erstatte detgamle systemet etter hvert som prosedyrene ogrutinene blir godkjent. Daglig leder opplysteat alle medarbeiderne i vognselskapet haddetilgang til det elektroniske systemet ogtilhørende dokumenter.Vi har gjennomgått det elektroniske systemetslik det forelå i april 2012. Systemet inneholdt5Rapport etter første kvartal 2010 (sak 205/10), halvårsrapportjanuar–juni 2010 (sak 255/10), økonomirapport1. tertial 2011 (sak 262/11), halvårsrapport januar–juni2011 (sak 269 /11), økonomirapport januar–desember2012 (sak 284) og økonomirapportering per februar2012 (sak 295).informasjon om selskapets organisering ogadministrasjon samt om selskapets etiskeregelverk (vedtatt av styret i sak 112/08)og fullmaktshierarki (vedtatt av styret i sak213/10). Videre innehold systemet blant annetstillingsinstrukser for alle medarbeiderne iselskapet, 19 ulike prosedyrebeskrivelser,12 rutinebeskrivelser og 9 ulike maler.Herunder var det utarbeidet prosedyre- ogrutinebeskrivelser for endringsbehandling,innkjøp og anskaffelser, oppfølging ograpportering av vedlikehold, budsjettering,økonomirapportering, kontraktsoppfølgingog behandling av inngående bilag. Flereav prosedyre- og rutinebeskrivelsene i detelektroniske systemet var ikke godkjent avdaglig leder på undersøkelsestidspunktet. Ifølgedaglig leder kunne det forklares med at detelektroniske systemet ikke var ferdig oppdatertpå dette tidspunktet.Ifølge en av prosedyrene skulle ledelsengjennomgå styringssystemet årlig,normalt i forbindelse med utarbeidelse avvirksomhetsplanen. Ifølge vognselskapetble denne planen utarbeidet om høsten.Prosedyren var gjeldende fra 16.01.2012og var på undersøkelsestidspunktet ikkegjennomført. Ledelsens gjennomgangskulle ifølge prosedyren bli gjennomført ogdokumentert i henhold til krav i ISP 14001:2004, Miljøstyringssystemer og ISO 9001. 2008,Systemer for kvalitetsstyring – krav.Vi er gjort kjent med at det per august 2012er gjort noen endringer i enkelte rutinerog prosedyrer som forelå i systemet, blantannet generelle rutiner for innkjøp (blantannet bruk av innkjøpsanmodninger) ogkontraktoppfølging. Vi har ikke gått nærmereinn på disse endringene. Vi fikk i august2012 ettersendt en oppdatert utgave av detelektroniske kontrollsystemet som viste atprosedyre- og rutinebeskrivelsene var godkjentav daglig leder.24Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASKontrollmiljøetEtisk regelverkSom nevnt ovenfor ble det i 2008 vedtatt etetisk regelverk i vognselskapet. Regelverket varbasert på Oslo kommunes etiske regelverk oginneholdt blant annet føringer for forvaltningav selskapets midler, lojalitet, rapportering,varsling, habilitet samt forretningsetiskeregler og forbud mot gaver og andre fordeler itjenesten. Videre fremkom det at leder skullepåse at regelverket årlig ble gjennomgått med deansatte. Det fremkom også at daglig leder skullepåse at de ansatte undertegnet på at de haddelest og forstått selskapets etiske regelverk.Flere av våre informanter opplyste at etiskeproblemstillinger jevnlig ble drøftet i selskapet,og daglig leder mente at regelverket av dengrunn burde være godt kjent i organisasjonen.Det forelå imidlertid ikke skriftligdokumentasjon på undersøkelsestidspunktet påat de ansatte hadde signert for at de hadde lestog forstått det etiske regelverket, eller at de påannen måte var gjort kjent med regelverket.Det varierte ifølge daglig leder hvorvidtinnleide medarbeidere var kjent med detetiske regelverket. Konsulenter som jobbeti selskapet over tid, ville etter daglig ledersvurdering være godt kjent med regelverketgjennom praktiske diskusjoner. Det kunnepå undersøkelsestidspunktet ikke fremleggesskriftlig dokumentasjon på at innleide hadde lestselskapets etiske regelverk eller på annen måtevar gjort kjent med dette.Habilitetsvurderinger inngikk som en del av detetiske regelverket. Det forelå ikke prosedyrerfor habilitetsvurderinger utover dette.Selskapet hadde ikke etablert en egenvarslingsordning.Ansvar og myndighetStyret vedtok en instruks for daglig leder i sak189/10. Instruksen inneholdt informasjon ommål for stillingen, organisatorisk plassering,ansvar og myndighet, plikter, fullmakter oggenerelle arbeidsoppgaver. Instruksen inneholdtingen direkte presisering av daglig leders ansvarfor selskapets internkontroll.Som nevnt tidligere har styret vedtattfullmaktshierarki og signaturbestemmelserfor Oslo Vognselskap AS. Fullmaktene varspesifisert i flere ulike kategorier, herunderfullmakt til å signere avtaler/kontrakter ogfinansielle kontrakter, fullmakt til å godkjenneanmodning om innkjøp, bestilling, godkjenningog attestering av tjenestereiser, fullmakt tilå behandle og betale inngående fakturaer ogfullmakt til å signere korrespondanse.Signaturbestemmelsene både for fullmakten tilå signere avtaler/kontrakter og fullmakten tilå tilvise innkomne fakturaer var differensiertetter beløp. Innenfor flere av beløpskategorienefremkom det flere navn uten at det varspesifisert om disse måtte signere sammen,eller om de kunne signere alene. Vi ble iaugust 2012 kjent med at selskapet haddeoppdatert fullmaktene. Vår gjennomgangav den nye fullmaktsmatrisen viste at det nåkom frem hvem og hvor mange sammen somhadde fullmakt innenfor hver beløpskategori.Den oppdaterte fullmaktsmatrisen var ifølgevognselskapet bare en presisering og avklaringav matrisen vedtatt av styret i sak 213/10, oghar ikke vært gjenstand for ny styrebehandling.Matrisen var godkjent av daglig leder30.05.2012.I tillegg var medarbeidernes ansvar ogoppgaver beskrevet i den enkelte medarbeidersstillingsinstruks. To av instruksene var godkjentav daglig leder i oktober 2011, mens fire vargodkjent i januar 2012. Kontraktssjefensstillingsbeskrivelse var godkjent 06.06.2012.Daglig leder opplyste at stillingsinstrukseneble gjennomgått med de ansatte i de årligemedarbeidersamtalene.Kommunerevisjonen25

Rapport 23/2012Ifølge fullmaktshierarkiet skulle det forprosjektledere og øvrige prosjektmedarbeidereavtales særskilte beløpsgrenser for detrespektive budsjettområdet (for de ulikeprosjektene). I MX-prosjektet var det utarbeideten egen prosjekthåndbok hvor det også forelå enegen ansvars- og myndighetsmatrise, jf. kapittel3.2.1 og våre vurderinger i kapittel 3.3.Det foreligger ikke en formellfungeringsrekkefølge knyttet til fravær iorganisasjonen.Selskapets forhold til virksomhetens kompetanseIfølge daglig leder ble virksomhetenskompetansebehov vurdert av styret i forbindelsemed den årlige behandlingen av selskapetsforretnings- og virksomhetsplan. Dagligleder viste til at styrets vurdering så langthadde vært at grunnbemanningen skulle væretilstrekkelig til å ivareta løpende administrativeog forvaltningsmessige oppgaver. Ved størreanskaffelsesprosjekter var selskapets strategiå benytte kompetanse i andre selskaperinnen kollektivsystemet samt å leie eksternkompetanse ved behov. Denne strategien varblant annet nedfelt i vognselskapets forretningsogvirksomhetsplan for 2012.Daglig leder viste videre til atselskapet besatt viktig anskaffelses- ogkontraktsoppfølgingskompetanse. Blant annethadde selskapets kontraktssjef vært med i MXprosjektetsprosjektorganisasjon siden den bleopprettet. Vedkommende hadde det merkantileansvaret for oppfølging av MX-kontrakten.MX-prosjektets leder var dessuten ansatt somteknisk sjef i vognselskapet og hadde ansvar foroppfølging av MX-materiellets kvalitet samtrapportering og håndtering (saksbehandling)av tekniske forhold som var omfattet avSiemens garantiansvar eller hadde betydning forvurdering av materiellets beskaffenhet.Hensiktsmessig rapporteringslinjerVognselskapet er en liten organisasjon medflat struktur. Daglig leder opplyste at det blantannet var etablert en rapporteringslinje hvorde ansatte rapporterte, muntlig og skriftlig, frasine ansvarsområder på ukentlige møter hvoralle ansatte deltok. Hensikten med møtenevar ifølge daglig leder å sikre informertebeslutninger, fordele informasjon og drøfteaktuelle saker med selskapets medarbeidere.Daglig leder viste til at han utover ukemøtetmottok informasjon om virksomheten gjennomregelmessig skriftlig rapportering direkte fraselskapets medarbeidere. Mer om rapportering ipraksis følger under avsnittet om kanalisering avinformasjon.RisikovurderingerVognselskapet engasjerte våren 2008 et eksterntselskap til å gjennomføre en risikoanalyse avvognselskapet. Formålet med analysen var åidentifisere, beskrive og synliggjøre de mestsentrale risikoene for virksomheten. Resultatetav analysen ble lagt frem i en rapport. 6Hovedkonklusjonen i rapporten var blant annetat vognselskapets rolle var uklar, noe som ifølgerapporten blant annet førte til uklare grensesnittmot operatørene og manglende styring ogkontroll med langsiktig vedlikehold. Det blevidere påpekt i rapporten at vognselskapetkunne representere en mulighet for eiersmålsetting om å styrke kollektivsystemetsegen kapitalbase, eksempelvis gjennom etstyrket langsiktig vedlikeholdsprogram, styrketøkonomistyring, styrket anskaffelseskraftog styrket overordnet materiellstrategi. Damåtte imidlertid vognselskapet evne å utøvesin strategiske eierrolle på en slik måte at deoperative driftsselskapene oppfattet selskapetsom en verdiskapende støttefunksjon.Rapporten fremmet to forbedringsforslag,herunder at• Oslo kommune som eier iverksatte politiskeprosesser for å tydeliggjøre og sikre6Oslo Vognselskap AS Muligheter og trusler som kanpåvirke eiers (Oslo kommunes) målsettinger og de avlededeforretningsmål for Oslo Vognselskap AS. (RiskPartner as 8. desember 2008).26Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASforståelse og aksept for vognselskapetsfastsatte rolle og formål i kollektivsystemet• selskapet styrket sin grunnbemanning ogkompetanse og leide inn nødvendig antallressurspersoner fra kollektivsystemet forøvrigDaglig leder opplyste at selskapet haddegjennomført konkrete tiltak for å håndtererisikoen innenfor alle vesentlige risikoområdersom ble påpekt i analysen. Vognselskapet harblant annet styrket gjenanskaffelsesevnengjennom å utvikle gjeldende vognleieprinsipperog avsatt kapital til fremtidig vedlikehold.Videre viste daglig leder til at selskapet haddebidratt til å øke forståelsen av selskapetsoppgaver gjennom endring i selskapets vedtekterog tydeliggjøring av selskapets arbeidsoppgaveri årsrapporter og gjennom innspill til eier.Selskapet hadde også arbeidet aktivt for å fåtilgang på vedlikeholdsinformasjon samt utvidetgrunnbemanning og vedtatt rentestrategi.Vedørende oppfølging av tiltakene vistedaglig leder til at det for flere av disseskjedde fortløpende rapportering til styretog eier. Dette gjaldt blant annet utviklingeni gjenanskaffelsesfondet, avsetning tilfremtidig vedlikehold og utviklingen i detuavklarte grensesnittet mot operatørene.Informasjon om dette fremkom blant annetav selskapets årsregnskap. Videre har styretog administrasjonen arbeidet aktivt for åbedre informasjonstilgangen vedrørendevedlikeholdet, og saken har ifølge dagligleder blitt løftet til eier for avklaring. Dettekom også frem av innhentet korrespondansemellom vognselskapet og Oslo kommune og avbystyrets behandling av selskapets årsrapporter.Daglig leder opplyste videre at det rapportereshalvårlig til styret om hvordan administrasjonenetterlever rentestrategien, og at håndtering avvalutarisiko skjer ved kontraktsinngåelse. Merom selskapets rentestrategi kommer i kapittel5.2.5.Det var ikke gjennomført eksternrisikovurdering av selskapet ettergjennomgangen i 2008. Administrasjonengjennomførte årlige vurderinger avselskapets risiko som en del av utarbeidelsenav selskapets årsrapport. Vi har mottattadministrasjonens saksfremlegg på områdetfor 2011. Saksfremlegget viste at risikobildetvar tilnærmet likt situasjonen som er beskreveti årsberetningene for perioden 2007–2010 ogi den eksterne risikovurderingen fra 2008.Dette har også daglig leder bekreftet. Ifølgeselskapets ledelse hadde hovedutfordringenvært å få kontroll med risikoen knyttet tiltilgang på relevant vedlikeholdsinformasjonfra Kollektivtransportproduksjon AS vedverkstedet. Verkstedsenheten gjennomførtevedlikehold av vognparken på vegne avvognselskapet. Slik informasjon var viktig forvognselskapet å få, blant annet for å sikre atdet ble satt av tilstrekkelige midler til fremtidigvedlikehold. Dette var ifølge daglig leder enproblemstilling selskapet fortsatt jobbet aktivtmed.Kanalisering av informasjonDaglig leder opplyste at alle medarbeidernerapporterte muntlig eller skriftlig fra sineansvarsområder på de ukentlige møtene.Ukemøtene var ifølge daglig leder den viktigsteinterne informasjonskanalen. På disse møteneble blant annet daglig leder og organisasjonenfor øvrig orientert om MX-prosjektets fremdrift,utvikling og eventuelle problemområder.En periode var eksempelvis branntilløp ogstrømforsyningen til MX-vognene et temapå møtene. Rapporteringen bar ifølge dagligleder preg av hvor man var i prosjektforløpet.Eksempelvis var rapporteringen våren 2012preget av at MX-prosjektet var inne i endriftsfase for vogner utløst av opsjon 2,samtidig som selskapet var i en utvidelsesfaseog avventet nye vognleveranser fra SiemensAG. Det ble ikke utarbeidet referat fra dissemøtene, men det var etablert en praksis hvor detble utarbeidet et aksjonspreget referat dersomKommunerevisjonen27

Rapport 23/2012det i møtet ble besluttet å iverksette tiltak o.l.som skulle følges opp. Daglig leder opplyste atselskapet var i ferd med å endre på dette, og atdet for fremtiden skulle skrives referat fra dissemøtene.Eksempler på faste skriftlig rapportering tildaglig leder var månedlige økonomirapporterog prosjektrapporter. Daglig leder viste videretil at han regelmessig også mottok skriftliginformasjon om materielloppfølging, feil påleveransene, m.m. Slik rapportering lå også tilgrunn for diskusjoner i de ukentlige møtene.I tillegg mottok han løpende og operativinformasjon om virksomheten gjennom dagligesamtaler og e-postutveksling med de ansatte iselskapet.Kontroll og oppfølging av selskapetsvirksomhetDaglig leders kontroll og oppfølging avselskapet skjedde gjennom de ovennevnteukentlige møtene, regelmessig skriftligrapportering og daglig kommunikasjon med deansatte.Vedrørende internkontroll knyttet tilfakturabehandling og utbetalinger i selskapet,viste daglig leder til at økonomisjefenkontrollerte dette. Økonomisjefen viste til at hanblant annet gjennomførte stikkprøvekontroll avat all nødvendig underlagsdokumentasjon forelå,at alle fakturaene var godkjent av personermed nødvendig fullmakt, og at fakturaene varforankret i den godkjente betalingsplanen, jf.kapittel 3.2.1.Daglig leder gjennomførte ikke særskilt kontrollav at selskapets etablerte internkontroll fungerte(at ulike rutiner og retningslinjer ble fulgt, atøkonomisjefen kontrollerte at fullmaktene bleoverhold, og at nødvendig underlagsmaterialeforelå). Daglig leder viste i denne sammenhengtil selskapets nye rutine fra januar 2012 somomhandler ledelsens årlige gjennomgangav kvalitet, ytre miljø og HMS basert påto ISO-standarder. Denne ville etter dagligleders oppfatning sikre at det ble gjennomførtsystematiske vurderinger av at selskapetsinternkontroll fungerte som forutsatt. Kontrollenvar per august 2012 ikke gjennomført. Dagligleder viste også til at ekstern revisor så på delerav internkontrollen gjennom sin revisjon avselskapet.Daglig leder viste for øvrig til at selskapet varen liten og oversiktlig organisasjon.4.3 VurderingUnderretning til styret om selskapetsvirksomhet, stilling og resultatutviklingKommunerevisjonens gjennomgang avstyreprotokollene viste at daglig lederhadde gitt styret driftsorienteringer ogsærskilte orienterings- og beslutningssakermed informasjon om vognselskapetsvirksomhet, stilling og resultatutvikling iundersøkelsesperioden. Slik informasjon blegitt minst hver fjerde måned, slik aksjelovenanfører.InternkontrollsystemVognselskapet hadde etablert et styringssystemsom blant annet bestod av prosedyre- ogrutinebeskrivelser, etisk regelverk ogfullmaktshierarki. Dette er viktige elementer ien virksomhets internkontroll.Vognselskapet kunne imidlertid ikkedokumentere at de ansatte var gjort kjent medselskapets etiske regelverk, eller om det bleforetatt jevnlige gjennomganger av regelverket.Dette mener vi er en svakhet ettersomvognselskapets kjernevirksomhet er anskaffelse,kontraktsoppfølging og vedlikehold. Detteer virksomhetsområder hvor det generelt errelativt høy iboende risiko for at ansatte blireksponert for gaver og andre fordeler, noesom i sin ytterste konsekvens kan medføreat ansatte ikke handler i selskapets interesse.Habilitetsproblematikk er også et forhold somkan oppstå i en virksomhet som vognselskapet,og som er omtalt i det etiske regelverket.28Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASVi ser det også som en svakhet at selskapetikke hadde etablert et system som sikrer atinnleide medarbeidere blir gjort kjent medselskapets etiske regelverk. På samme måtesom for fast ansatte vil innleide medarbeiderekunne eksponeres for gaver eller tilbud omandre goder under deres utøvelse av arbeid påvegne av vognselskapet, eller det kan oppståproblemstillinger knyttet til habilitet.Vognselskapets ansvars- og myndighetsforholdfremstod isolert sett som tydelig og klart i denoppdaterte fullmaktsmatrisen fra mai 2012,hvor selskapet hadde presisert hvem som haddefullmakt innenfor de enkelte beløpsgrensene.Når det gjelder ansvars- og myndighetsforholdi MX-prosjektet, viser vi til vår vurdering ikapittel 3.3, hvor vi blant annet påpeker uklarhetknyttet til kontraktsadministrators myndighet.Etter vår vurdering hadde selskapet et bevisstforhold til organisasjonens størrelse ogkompetanse, også på anskaffelsesområdet.Selskapet syntes å ha etablert en hensiktsmessigrapporteringslinje gjennom ukentlige møter ogregelmessig skriftlig rapportering. Vår vurderingav behovet for mer skriftlighet følger i avsnittetom kanalisering av informasjon.RisikovurderingerSelskapet hadde foretatt risikovurderinger iforbindelse med utarbeidelse av saksfremleggtil styrets behandling av årsrapport. EtterKommunerevisjonens vurdering syntesvognselskapet å ha iverksatt tiltak på områdermed påpekt risiko.Selskapet kunne imidlertid ha sørget for enytterligere systematikk og dokumentasjon isin risikohåndtering gjennom en tettere ogdokumentert kobling mellom identifisert risiko,iverksatte tiltak og videre vurdering av omtiltakene fungerer som forutsatt. Blant annetville et skjema med tydelige koblinger mellomrisiko og tiltak kunne være nyttig for godoppfølging.Det var ikke gjort særskilte risikovurderinger foranskaffelsesområdet.Kanalisering av informasjonBasert på det vi er blitt fortalt, synes dagligleder å ha mottatt løpende informasjon omvirksomheten gjennom de ukentlige møtene,i tillegg til muntlig og skriftlig informasjonsom gikk direkte til daglig leder. Vi ser også avstyreprotokollen at administrasjonen på hvertstyremøte la frem driftsorienteringer, blant annetom status og eventuelle problemområder i deulike prosjektene.Ukemøtet fremstod som selskapets viktigsteforum for informasjonsutveksling og drøftingfor å sikre informerte beslutninger. Hvis detikke foreligger skriftlig referat etter dette møtet,kan det i ettertid oppstå usikkerhet om hvilkeninformasjon som er gitt, og hvilke beslutningersom er truffet på det grunnlaget.Kontroll og oppfølging av selskapets virksomhetDaglig leder syntes å følge opp selskapetsvirksomhet gjennom ukemøtet, skriftligrapportering og løpende kommunikasjon medorganisasjonen.Når det gjelder oppfølging av at selskapetsetablerte internkontroll fungerte som forutsatt,hadde selskapet frem til januar 2012 ikke etsærskilt system for daglig leders oppfølgingav om selskapets internkontroll fungerte.Selskapets baserte seg i stor grad på deneksterne revisorens gjennomganger.Ekstern revisors gjennomgang avinternkontrollen er en viktig del av oppfølgingenog en viktig kilde for informasjon om statusfor deler av internkontrollen. Revisorsgjennomgang av internkontrollen er i hovedsakknyttet til overholdelse av lover og regler avbetydning for selskapets formuesforvaltningog regnskapsrapportering, og dekker såledesikke selskapets helhetlige internkontroll. Ihenhold til anerkjent rammeverk og praksisfor god internkontroll har selskapets ledelseKommunerevisjonen29

Rapport 23/2012et selvstendig ansvar for å følge opp at denhelhetlige etablerte internkontrollen fungerersom forutsatt. Det var blant annet ledelsensansvar å følge opp (få informasjon om ellerfå bekreftelse på) at selskapets rutiner ogprosedyrer ble fulgt, at myndighets- ogansvarsforhold var klare og entydige, atfullmakter ble etterlevd, at fakturabehandlingskjedde som forutsatt, og at det var dokumentertat ansatte og eksterne konsulenter var kjent medselskapets etiske regelverk.Det kan reises spørsmål ved nødvendigheten avalt det vi her har nevnt, i en liten og oversiktligorganisasjon. Vognselskapet håndterer imidlertidstore, omfattende og kompliserte kontrakter.30Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS5. Styrets tilsynsansvarI dette kapitlet skal vi se nærmere påhvordan styret i vognselskapet har utøvd sitttilsynsansvar, herunder hvilke systemer ogprosedyrer styret har etablert for dette.5.1 RevisjonskriterierVed vår vurdering av styrets utøvelse avsitt tilsynsansvar, herunder for selskapetsinternkontroll, har vi lagt følgenderevisjonskriterier til grunn:• Styret bør fastsette en årlig plan for sittarbeid i styret.• Styret bør etablere etiske retningslinjer forselskapet.• Styret bør foreta en årlig evaluering av sittarbeid og sin kompetanse.• Styret skal holde seg orientert om selskapetsøkonomiske stilling og utvikling.• Styret skal påse at selskapet har betryggendeinternkontroll og hensiktsmessige systemerfor risikostyring.• Styret bør årlig foreta en gjennomgang avselskapets internkontroll og de viktigsterisikoområdene.• Styret bør i årsrapporten gi en samletbeskrivelse for selskapets styring og ledelsesamt en beskrivelse av hovedelementenei selskapets internkontroll ogrisikostyringssystemer.5.2 Fakta5.2.1 Årlig planVi ser av selskapets styreprotokoller at styretsmøteplan for 2011 ble vedtatt av styret isak 240/10, og at møteplanen for 2012 blevedtatt i sak 277/11. Vår gjennomgang avmøteplanene viste at det var planlagt seksmøter per år til bestemte tidspunkter. Planenefremsto som en matrise med møtedatoer påden ene siden og saker som skulle behandles,på den andre. Sakene som skulle gjennomgås,var kategorisert etter tre hovedtemaer: fastesaker (driftsorientering), beslutningssakerog orienteringssaker. Under hver av dissekategoriene var det listet opp flere temaer, ogdet var markert på hvilke møter disse skullebehandles.5.2.2 Etiske retningslinjer ogsamfunnsansvarStyret vedtok selskapets etiske retningslinjer isak 112/08. I styresak 277/11 ba styret om å fåforelagt etisk regelverk for revisjon i løpet av2012. Styreleder opplyste at selskapets reviderteetiske regelverk skal behandles av styret høsten2012.Regelverket omhandlet som tidligere nevnt blantannet habilitet, forretningsmessige regler ogforbud mot gaver og andre fordeler i tjenesten.5.2.3 Egenevaluering av styrets arbeid ogkompetanseStyreinstruksen hadde ikke bestemmelser omat styret skulle gjennomføre egenevaluering.Vår gjennomgang av styreprotokoller viste atstyret gjennomførte en egenevaluering i forkantav generalforsamlingene i 2011 (sak 252/11)og 2012 (sak 301/12). Det ble ikke utarbeideten skriftlig rapport etter disse evalueringene.Styreleder opplyste at temaene for diskusjonenehadde blant annet vært om styret fikk de rettesakene fremlagt, kvaliteten på saksfremleggfra administrasjonen, om det var områder derstyret kunne gjøre mer, kompetansebehov,etikk m.m. Vognselskaps manglende tilgang tilvedlikeholdsinformasjon var ett område styretmente det ikke hadde gjort nok for å avklare.Styrets kompetanse ble ifølge styrelederdiskutert hvert år. Styreleder viste videre til atstyrets kompetansebehov også ble diskutert medeier når styremedlemmer skulle skiftes ut.5.2.4 Styrets informasjon om selskapetsøkonomiske stilling og utviklingSom beskrevet i kapittel 4.2.1 vistestyreprotokollene at styret fikk fremlagtKommunerevisjonen31

Rapport 23/2012informasjon om regnskap og økonomi på fem avni møter i 2010, fire av fem møter i 2011 og toav tre møter per juni 2012.Styreleder mente at styret var godt informertom forutsetningene for selskapets økonomiskeutvikling, og at det evnet å reagere på avvik.Styreleder viste i den sammenheng til at styreti møtet i februar 2012 anså at administrasjonenhadde lagt gale forutsetninger til grunn forvognleien i økonomirapporteringen, og atstyret derfor ba administrasjonen utarbeide enny rapport. Dette er ikke protokollført, menselskapets økonomisjef bekreftet at styret haddekommentarer til vognleieberegningene.Vedrørende utøvelse av opsjoner i MXprosjektetog oppfølging av leveranser (garanti),hadde styret ifølge styreleder hatt fokus påtekniske problemer. Herunder fulgte styretopp hvordan disse ble løst, og om de ble løstinnenfor garantiregimet. Sakene ble fulgtinntil styret så en løsning og ble orientert avadministrasjonen om dette på styremøter. Vi serav styreprotokollene at styret ble orientert omutviklingen i disse sakene.5.2.5 Påse at det er betryggendeinternkontroll og hensiktsmessigesystemer for risikostyringNår det gjaldt styrets ansvar for å påseat selskapet hadde etablert betryggendeinternkontroll, visste styret ifølge styrelederhvilke styringssystemer som forelå. Styrelederpåpekte at styret hadde godkjent delerav dette systemet, blant annet selskapetsfullmaktshierarki og signaturbestemmelser,etiske retningslinjer og selskapets rentestrategi.Videre hadde styret vedtatt selskapetsforretnings- og virksomhetsplan.Styret var også kjent med at det som en delav styringssystemet var utarbeidet rutine- ogprosedyrebeskrivelser, maler m.m. Styrelederopplyste i den sammenheng at administrasjonennylig hadde lagt frem en orienteringssakom fremdriften i etableringen av det nyeelektroniske styringssystemet, noe som ogsåfremkom av styresak 288/12.Styreleder viste videre til at styret gjennombehandlingen av styringssystemet iforretningsplanen hadde satt krav til kvalitetenpå selskapets styringssystem, og haddeobservert at forretningsplanen de siste årenevar blitt bedre og bedre på området, blantannet når det gjaldt selskapets beskrivelse avmåloppnåelse.Når det gjaldt styrets ansvar for å påse atselskapet har hensiktsmessige systemerfor risikostyring, viste styreleder til atvognselskapet i 2008 engasjerte et eksterntselskap for å belyse selskapets risiko, herundertrusler og mulighet selskapet stod overfor, jf.kapittel 4.2.2. Rapporten etter analysen blepresentert for styret i sak 123/08.Selskapet gjorde årlig, i forbindelse medutarbeidelse av selskapets årsrapporter,vurderinger av selskapets risiko. Vurderingeneble utført basert på innspill fra administrasjonen.Resultatet av vurderingene fremkom avårsrapportene og av innspillene i sakspapirerfra styrets behandling av disse rapportene.Styret gjennomførte også andre konkretevurderinger av selskapets risiko, eksempelvisgjennom evaluering av selskapets strategifor rente- og valutarisiko. Andre forhold,som risiko knyttet til mangelfull tilgang tilvedlikeholdsinformasjon, ble også jevnligdiskutert i styremøter, og er i flere tilfellerkanalisert til eier.Styreleder påpekte videre at selskapetsrisikobilde ikke var særlig endret siden 2008.Hverken han eller daglig leder hadde av dengrunn sett behovet for ny risikovurdering vedbruk av ekstern kompetanse. Styreleder påpekteimidlertid at det ville gjennomføres en eksternrisikoanalyse i forbindelse med selskapetsstrategiprosess høsten 2012.32Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASVognselskapet hadde etter styreleders vurderinghåndtert de fleste operasjonelle risikoforholdsom ble påpekt i vurderingen fra 2008.Saker som fortsatt ikke var “løst”, ble lagtfrem for styret av administrasjonen gjennomorienteringssaker eller særskilte saker påstyremøtene, noe vi ser av styreprotokollen.Den vesentligste risikoen som ifølge styreledergjenstod, var risikoen knyttet til at selskapetikke fikk fullverdig vedlikeholdsinformasjonfra selskapet som gjennomførte vedlikeholdav vognene, Kollektivproduksjon AS vedverkstedenheten, noe som blant annet gjorde detvanskelig for vognselskapet å vite om det bleavsatt nok kapital til fremtidig vedlikehold.Vår gjennomgang av årsrapportene for årene2007 til 2011 viste at styret har løftet fleresentrale risikoer og usikkerhetsfaktorer.Hvilke tiltak som var iverksatt for å redusererisiko, fremkom også av årsrapportene. Ifølgerapporten for 2010 var problemstillingeneknyttet til vognleieprinsipper og tilgang tilvedlikeholdsinformasjon lagt frem for eier. Detble videre vist til at forholdet var behandlet avbystyret 7 . Det fremkom også at den finansiellerisikoen var redusert ved at styret haddevedtatt en rentestrategi (jf. også styresak66/07), og at valutatransaksjonene var sikrettil fast kurs. Vi ser også av styreprotokollenefor perioden fra 2007 til 2011 at flere av disseforholdene var behandlet på styremøter, blantannet forholdet om vedlikeholdsinformasjon,vognleieproblematikk, og finansiell risiko.5.2.6 Årlig gjennomgang av selskapetsinternkontroll og de viktigsterisikoområdeneIfølge styrleder var ikke styret blitt informertsærskilt av administrasjonen om hvorvidtvognselskapets internkontroll fungerte somforutsatt. Styreleder viste til at vognselskapetvar et lite og oversiktlig selskap. VedrørendeMX-prosjektet var han kjent med at det skjeddefortløpende rapportering til daglig lederom prosjektet, men var ikke kjent med omrapporteringen var skriftlig. Styreleder var ogsåkjent med at selskapet hadde fastsatte møtermed Siemens, og at disse var dokumentert medegne møtereferater. Styret behandlet imidlertidenkelte deler av internkontrollen jevnlig påstyremøter, blant annet praksis vs. de etablerterente- og valutastrategiene.Vi ser av styresak 238/10 at styretved sin behandling av forretnings- ogvirksomhetsplanen for 2011 påpekte at manburde ha som målsetting for virksomhetsplanenå konkretisere arbeidsmål for å øke kontroll- ograpporteringsmuligheter ovenfor styret. Vedbehandling av planen for 2012 (sak 277/11) varstyret opptatt av å få en tydeligere prioriteringav selskapets virksomhet.Selskapets revisor har som en del av oppdragetgjennomført halvårsgjennomganger oginterimsrevisjoner i tillegg til revisjonav årsoppgjøret. Gjennomganger avinternkontrollen har i hovedsak omhandletoverholdelse av lover og regler av betydningfor selskapets formuesforvaltning ogregnskapsrapportering. Tilbakemeldingenfra ekstern revisor har blant annen værtgitt i skriftlige rapporter og PowerPointpresentasjoner.Gjennom disse uavhengigekontrollene har styret fått tilbakemelding omdeler av selskapets internkontroll.5.2.7 Styrets redegjørelse om selskapetsstyring og ledelseÅrsrapportene for årene 2007 til2011 inneholdt styrets vurdering avmarkedsutvikling og materiellforvaltninginnenfor de ulike prosjektene, resultat,balanse og gjenanskaffelsesevne, sentraleusikkerhetsfaktorer, arbeidsmiljø, organisasjonm.m., sentrale hendelser, utsiktene fremover ogfortsatt drift. Rapportene inneholdt ikke særskiltinformasjon om selskapets internkontroll ogrisikostyringssystemer.7Sak 151/11 08.06.2011; Årsberetning Oslo Vognselskap ASKommunerevisjonen33

Rapport 23/20125.3 VurderingÅrlig planStyret hadde vedtatt årlige møteplaner. Detfremkom tydelig hvilke saker som skullebehandles på de enkelte møtene.Etiske retningslinjerStyret hadde vedtatt et etisk regelverk forselskapet som også omhandlet føringer knyttettil anskaffelser. Et revidert regelverk skulle etterplanen behandles av styret høsten 2012.EgenevalueringStyret gjennomførte årlig egenevaluering avstyrets arbeid og kompetanse. Egenevalueringenble gjennomført muntlig uten bruk av standardspørreskjema eller lignende, og det forelå ikkeskriftlig rapport etter evalueringen. Etter vårvurdering ville egenevalueringen vært mersystematisk dersom det var lagt til grunn etstandardisert spørreskjema eller et tilsvarendedokument som spesifiserte hvilke temaer ellerområder som skulle evalueres. Når det ikkevar gjort, og det heller ikke forelå en skriftligoppsummering etter gjennomført evaluering,var det vanskelig å følge utviklingen over tid ogsikre tilstrekkelig systematikk i arbeidet medegenevaluering.Styrets informasjon om selskapets økonomiskestilling og utviklingStyret fikk regelmessig informasjon omselskapets utvikling og økonomiske stillingpå styremøtene. Kommunerevisjonensgjennomgang av et utvalg regnskaps- ogøkonomirapporter viste at styret ble presentertfor selskapets økonomiske stilling, og atavvik ble forklart. Bruk av prognoser er etviktig redskap ved økonomistyring, og vi harmerket oss at selskapet fra 2011 også la fremprognosetall i rapporteringen.Påse at det foreligger betryggendeinternkontroll og hensiktsmessige systemer forrisikostyringStyret fikk informasjon om selskapets etablerteinternkontrollsystem, både gjennom orienteringfra administrasjonen og gjennom særskiltstyrebehandling av deler av systemet. Styretsyntes også å være opptatt av at vognselskapetvidereutviklet systemet.Styret var kjent med selskapets system forrisikostyring. Herunder var styret kjentmed at administrasjonen gjennomførteårlige risikovurderinger ved utarbeidelseav årsrapporter. Styret syntes også å værekjent med at administrasjonen hadde fulgtopp risikoene som var påpekt i 2008, samtrisikoene som ble identifisert gjennom de årligevurderingene.Styrets årlige gjennomgang av selskapetsinternkontroll og de viktigste risikoområdeneStyret hadde ikke foretatt en årlig gjennomgangav selskapets internkontrollsystem. Styretmottok informasjon om viktige delerav internkontrollen via ekstern revisorshalvårlige gjennomganger, interimsrevisjonerog revisjon av selskapets årsoppgjør.Enkelte internkontrolltiltak ble dessutenfulgt opp i særskilte styresaker, som styretsjevnlige behandling av selskapets rente- ogvalutastrategi. Dette var således viktige kilderfor styrets utøvelse av tilsynsansvaret, menikke tilstrekkelig etter Kommunerevisjonensvurdering fordi dette ikke gav et bilde avselskapets helhetlige internkontroll.Kommunerevisjonens gjennomgang har blantannet avdekket at et internkontrolltiltak somvar vedtatt av styret i 2008, ikke var iverksattsom forutsatt, uten at dette var fanget opp avstyret. Eksempelvis behandlet og vedtok styretselskapets etiske regelverk i en egen styresaki 2008. Ifølge regelverket hadde daglig lederplikt til å påse at ansatte signerte for at dehadde lest dette, noe som vår gjennomgangviste ikke var fulgt opp, jf. kapittel 4.2.2. Styrethadde ikke fanget opp at dette kontrolltiltaketikke var blitt gjennomført i tråd med styretsforutsetninger. Dette understreker viktigheten avjevnlige gjennomganger av selskapets etablerteog helhetlige internkontroll. Mangelfullt34Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AStilsyn fra styrets side med selskapets samledeinternkontroll kan redusere styrets muligheterfor håndtering av aktuelle risikoer for selskapetog styrets muligheter til å gripe inn når dette ernødvendig.Styret har gjennom utarbeidelse og behandlingav selskapets årsrapporter foretatt enårlig gjennomgang av selskapets viktigsterisikoområder.Styrets redegjørelse om selskapets styring ogledelse i årsrapportenStyrets redegjørelse i selskapets årsrapportinneholdt ikke særskilt informasjon omelementene i vognselskapets internkontroll,slik som Norsk utvalg for eierstyring anbefaler.En slik beskrivelse kunne ha gitt eier ogandre interessenter aktuell informasjon omhvorvidt selskapets virksomhet, regnskapog formuesforvaltning var gjenstand forbetryggende kontroll.Kommunerevisjonen35

Rapport 23/20126. Oppsummering, konklusjon og anbefalinger6.1 Oppsummering av sentralevurderingerUtøvelse av opsjon, mottakskontroll ogkontraktsoppfølgingDet forelå rutiner og prosedyrer forvognselskapets mottak av T-banevognerog kontraktsoppfølging av leveransenefra Siemens AG. I tillegg lå det føringerfor dette i kontrakten med Simens AS og ikontrakten med KollektivtransporttjenesterAS ved verkstedet. Det forelå også rutinerog prosedyrer for selskapets behandling avendringer. Kommunerevisjonens stikkprøverviste at disse var fulgt i praksis, og at selskapetsfakturabehandling for mottak av leveranser vari tråd med fullmaktene. Selskapet hadde etablertarbeidsdeling i den sammenheng.Etter Kommunerevisjonens vurdering varenkelte ansvarsforhold i MX-prosjektetsansvars- og myndighetsmatrise ikke tilstrekkeligentydige og klare, noe Kommunerevisjonenmener er særlig viktig i et så stort og omfattendeprosjekt som MX-prosjektet.Kommunerevisjonens gjennomgang viste atopsjonskontraktene var inngått i tråd medbetingelsene i opprinnelig kontrakt på depunktene som er vurdert, og at de var godkjentav personer i vognselskapet med nødvendigfullmakt.Selskapets internkontrollsystemDaglig leder hadde underrettet styret omvirksomhetens stilling og resultatutvikling iundersøkelsesperioden innen det tidsrommetaksjeloven anfører.Vognselskapet hadde etablert et styringssystemmed blant annet prosedyrer, rutiner ogmaler. Selskapet hadde også etablert et etiskregelverk. Det kunne ikke dokumenterespå undersøkelsestidspunktet at det etiskeregelverket var kommunisert til de ansatte, ellerom det ble foretatt jevnlige gjennomgangerav dette. Det vurderes også som en svakhetat selskapet ikke hadde etablert et systemsom sikret at innleide medarbeidere blegjort kjent med selskapets etiske regelverk.Vognselskapets kjernevirksomhet er anskaffelse,kontraktsoppfølging og vedlikehold. Dette erområder med iboende risiko for at ansatte blirtilbudt gaver eller andre fordeler, eller at detoppstår problemstillinger knyttet til habilitet.Etter Kommunerevisjonens vurdering haddeselskapet et bevisst og gjennomtenkt forhold tilorganisasjonens størrelse og kompetanse.Selskapet hadde etablert en rapporteringslinjehvor det regelmessig ble rapportert skriftlig tildaglig leder eller muntlig i ukentlige møter. Detforelå ikke skriftlig referat etter de ukentligemøtene, men selskapet utarbeidet i enkeltetilfeller en skriftlig aksjonsliste. Hvis det ikkeforeligger skriftlig referat etter det ukentligemøtet, kan det i ettertid oppstå usikkerhet omhvilken informasjon som er gitt, og hvilkebeslutninger som er truffet på det grunnlaget.Det å gjennomføre risikovurderinger er et viktigelement i et internkontrollsystem. Vognselskapetinnhentet i 2008 ekstern kompetanse til ågjennomføre en vurdering av selskapetsrisiko. Utover dette har selskapet foretattjevnlige risikovurderinger ved utarbeidelseav saksfremlegg til styrets behandling avårsrapporten. Både daglig leders og styretsvurdering var at risikobildet ikke haddeendret seg vesentlig. Vognselskapet haddeiverksatt tiltak for å følge opp risiko påpekti den eksterne gjennomgangen fra 2008, oghadde fortsatt fokus på forhold som ikke varløst. Etter Kommunerevisjonens vurderingkunne vognselskapet i sitt arbeid sørget forytterligere systematikk i sin risikohåndtering36Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASgjennom en tettere og dokumentert koblingmellom identifisert risiko, iverksatte tiltak ogvidere vurdering av om tiltakene fungerte somforutsatt.Selskapet fulgte opp virksomheten gjennomukentlige møter, skriftlige rapporter og muntligkommunikasjon. Når det gjaldt selskapetsoppfølging av at den etablerte internkontrollenfungerte som forutsatt, baserte selskapetseg i stor grad på den eksterne revisorensgjennomganger. Disse dekket ikke alle områdereller selskapets helhetlige internkontroll.Kommunerevisjonen har registrert at selskapeti januar 2012 etablerte en rutine for ledelsensårlige gjennomgang av kvalitet, ytre miljø ogHMS.Styrets tilsynsansvarStyret hadde vedtatt årlige møteplaner, ogdet fremkom tydelig hvilke saker som skullebehandles på de enkelte møtene. Styretfikk informasjon om virksomhetens stillingog resultatutvikling innen det tidsrommetaksjeloven anfører.Styret hadde vedtatt et etisk regelverk forselskapet, og et revidert regelverk skullebehandles av styret høsten 2012.Styret gjennomførte årlig egenevaluering avstyrets arbeid og kompetanse.Styret var kjent med selskapetsrisikostyringssystem.Styret hadde ikke foretatt en årlig gjennomgangav selskapets internkontrollsystem. Styretmottok informasjon om viktige delerav internkontrollen via ekstern revisorshalvårlige gjennomganger, interimsrevisjonerog revisjon av selskapets årsoppgjør.Enkelte internkontrolltiltak ble dessutenfulgt opp i særskilte styresaker, som styretsjevnlige behandling av selskapets rente- ogvalutastrategi. Dette var således viktige kilderfor styrets utøvelse av tilsynsansvaret, menikke tilstrekkelig etter Kommunerevisjonensvurdering, fordi dette ikke gav et bildeav selskapets helhetlige internkontroll.Kommunerevisjonens gjennomgang har blantannet avdekket at et internkontrolltiltak somvar vedtatt av styret i 2008, ikke var iverksattsom forutsatt, uten at dette var fanget opp avstyret. Mangelfullt tilsyn fra styrets side medselskapets samlede internkontroll kan reduserestyrets muligheter for håndtering av aktuellerisikoer for selskapet og styrets muligheter til ågripe inn når dette er nødvendig.Styrets redegjørelse i selskapetsårsberetninger inneholdt mye informasjonom selskapets virksomhet, men ikke særskiltinformasjon om selskapets internkontroll ogrisikostyringssystemer.6.2 KonklusjonOslo Vognselskap hadde etablert rutiner ogdefinert ansvarsforhold for selskapets mottak avMX3000 T-banevogner, oppfølging av kontrakt,håndtering av endringer og fakturabehandling.Kommunerevisjonens stikkprøver viste at disseble etterlevd i de undersøkte tilfellene. EtterKommunerevisjonens vurdering var imidlertidenkelte ansvarsforhold i MX-prosjektet ikketilstrekkelig klart og entydig definert i MXprosjekthåndboken.Vognselskapet hadde etablert et internkontrollsystemmed blant annet rutiner forviktige deler av virksomhetens ansvarsområderog gjennomført risikovurderinger, og selskapethadde fulgt opp viktige risikoområder ograpportert jevnlig til styret om virksomhetensutvikling. Det var etter Kommunerevisjonensvurdering samtidig noe mangelfull skriftlighetknyttet til enkelte deler av internkontrollen.Det forelå i liten grad skriftlige referater etterde ukentlige møtene i selskapet, og det varikke dokumentert at selskapets etiske regelverkvar kommunisert til ansatte og innleidemedarbeidere.Kommunerevisjonen37

Rapport 23/2012Styret hadde utarbeidet styreplaner, vedtatt etiskregelverk og gjennomført egenevalueringer.Styret var videre kjent med selskapetsetablerte internkontroll gjennom orienteringpå styremøter eller særskilt behandlingav styresaker. Selskapets oppfølging av atinternkontrollen fungerte som forutsatt, haddefrem til 2012 i stor grad vært basert på eksternrevisors gjennomgang (halvårligrevisjon,interimsrevisjon og årsrevisjon), og dekketav den grunn bare deler av den etablerteinternkontrollen.6.3 AnbefalingerPå bakgrunn av den gjennomførte undersøkelsenhar Kommunerevisjonen følgende anbefalinger:• Ansvars- og myndighetsforhold i selskapetog i MX-prosjektet bør klargjøresytterligere.• Vognselskapet bør i større grad dokumenterebehandling av saker og referatførebeslutninger.• Det bør etableres et system som sikrer atansatte og innleide medarbeidere gjøreskjent med vognselskapets etiske regelverk,og at dette dokumenteres.• Selskapet bør vurdere å innføre en tydeligeredokumentert kobling mellom identifisertrisiko, iverksatte tiltak og videre vurderingav om tiltakene fungerer som forutsatt,gjerne ved bruk av mer skjematikk, tabelleller lignende.• Vognselskapet bør sikre at det foretasjevnlige gjennomganger av selskapetshelhetlige internkontrollsystem, omnødvendig ved å videreutvikle den nyerutinen for ledelsens årlige gjennomgang avdette.38Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap AS7. Uttalelser til rapporten og Kommunerevisjonens vurderingav disseRapporten ble sendt byråden for kultur ognæring og Oslo Vognselskap AS til uttalelse16.11.2012. Byrådsavdeling for kultur ognæring kommenterte rapporten i brev av29.11.2012 og Oslo Vognselskap AS i brev av28.11.2012. Uttalelsene følger i sin helhet i egnevedlegg.7.1 Byrådsavdeling for kultur ognæringByrådsavdeling for kultur og næring haddemerket seg selskapets kommentarer tilrapporten, og at selskapet tilsluttet seg alleanbefalingene som fremkom av rapporten.Byrådsavdelingen hadde også merket segat selskapet oppfattet Kommunerevisjonensanbefalinger å være hensiktsmessigeforbedringstiltak som kunne bidra til mersystematikk i det arbeidet som styret ogadministrasjonen utførte. Byrådsavdelingenhadde videre merket seg at flereforbedringstiltak allerede var implementert,og at selskapet hadde satt opp en oversikt overhva som var gjennomført, samt frister for ågjennomføre de øvrige anbefalte tiltakene.Byrådsavdelingen hadde ingen ytterligerekommentarer.7.2 Oslo Vognselskap ASOslo Vognselskap AS gav uttrykk for atrapporten var et nyttig verktøy i selskapetspågående arbeid med å videreutviklevirksomheten. Selskapet oppfattetKommunerevisjonens anbefalinger somhensiktsmessige forbedringstiltak som kunnebidra til mer systematikk i det arbeidet somstyret og administrasjonen utførte. OsloVognselskap AS ville iverksette tiltak påbakgrunn av rapportens anbefalinger oganga en frist for dette, flere tiltak var alleredegjennomført. Selskapet hadde foretatt enrevisjon av MX-prosjektets håndbok ogklargjort prosjektmedarbeidernes økonomiskefullmakter. Videre viste selskapet til at detallerede var etablert en rutine for innhentingav kvittering på at ansatte var gjort kjentmed det etiske regelverket. Selskapet ville iden sammenheng også ta inn en rutine somsikret en regelmessig gjennomgang av detetiske regelverket. Vognselskapet hadde ogsåiverksatt klarere rutiner for gjennomføring avadministrasjonsmøtene i selskapet, og det varinnført rutiner for rapportering av økonomi,fremdrift i prosjekter og for skriftlig referat framøtene.Selskapet vurderte å innføre en tydeligeredokumentert kopling mellom identifisert risiko,iverksatte tiltak og videre vurdering av omtiltakene fungerer som forutsatt, gjerne vedbruk av mer skjematikk, tabell eller lignende.Vognselskapet vil sikre at det foretas jevnligegjennomganger av selskapets helhetligeinternkontrollsystem, om nødvendig ved åvidereutvikle den nye rutinen for ledelsensgjennomgang av dette.Vognselskapet oppfattet at undersøkelsensomfang ble utvidet fra selskapet mottokoppstartbrevet til intervjuene ble gjennomført,og at revisjonskriteriene ble mottatt etterat intervjuene var gjennomført. Selskapetunderstreket behovet for å være tydelig påomfanget tidlig i prosessen for å gi best muliggrunnlag for forberedelser.Selskapet viste til at rapporten på et par områderble opplevd som litt unyansert. Vognselskapetpåpekte i den sammenheng at rapporten ikkehadde gitt rom for den internrevisjonen somforegikk i selskapet den 23. august i år, hvorhele selskapets styringssystem ble gjennomgått.Videre var ikke vognselskapet enig iKommunerevisjonens uttalelse om at styretikke hadde foretatt en årlig gjennomgang avKommunerevisjonen39

Rapport 23/2012selskapets internkontrollsystem. Selskapet vistetil at ekstern revisor halvårlig gjennomførtekontroll av selskapets overholdelse av enkeltelover og regler etter den internasjonalestandarden, ISA 260 Kommunikasjon meddem som har overordnet ansvar for styring ogkontroll, og rapporterte til styret om dette.Vognselskapet ville også imøtegå rapportensformulering om at styrets redegjørelse iselskapets årsberetninger ikke inneholdt særskiltinformasjon om selskapets internkontrollog risikostyringssystemer. Selskapet vistei den sammenheng til omtalen av sentralerisikoelementer i styrets beretning for 2011, ogat det i noter til selskapets regnskap fremkomredegjørelser for de instrumentene som var tatti bruk for å håndtere vesentlige risikoelementerpå finanssiden. Selskapet viste videre til at deti styrets beretning også ble redegjort for styretsomfattende arbeid for å sikre styringsverktøyfor risiko knyttet til materiellets status ogkostnadsutvikling på vedlikehold.7.3 Kommunerevisjonens vurderingKommunerevisjonen mener at tiltakenesom Oslo Vognselskap AS allerede hariverksatt og vil iverksette er relevante forKommunerevisjonens anbefalinger.Kommunerevisjonen har enkelte kommentarertil andre momenter i vognselskapets uttalelse tilrapporten.Kommunerevisjonen er enig i at det erviktig å være tydelig på undersøkelsensomfang helt fra oppstart, og merker segvognselskapets oppfatning om at detteikke helt var tilfelle ved oppstart i denneundersøkelsen. Kommunerevisjonen vil likevelvise til at Vognselskapet i oppstartbrevet fra21.03.2013 ble informert om at undersøkelsenogså gjaldt selskapets internkontroll relaterttil anskaffelser og styrets tilsynsansvar påområdet. Dette ble også kommunisert påoppstartsmøtet 12.04.2012, hvor undersøkelsensproblemstillinger ble gjennomgått og kilder forrevisjonskriteriene ble presentert. Her ble detblant annet presisert at anerkjente prinsipperfor helhetlig og god intern kontroll ville leggestil grunn (blant annet COSO ERM). Elementeri det som anses som god internkontroll hari stor grad også relevans for anskaffelser.Revisjonskriteriene ble første gang oversendtvognselskapet 25.05.2013. Intervju medselskapets direktør ble gjennomført 16. maiog intervju med kontraktsjef ble gjennomført10. mai, mens intervju med styreleder blegjennomført 8. juni og første intervju medselskapet økonomisjef ble gjennomført 21.august.Når det gjelder internrevisjonen avstyringssystemet som ifølge selskapetble gjennomført 23. august, bleKommunerevisjonen først gjort kjent meddenne på et møte med vognselskapet 02.11.2012hvor Kommunerevisjonens vurderinger irapport til uttalelse ble diskutert med selskapet.Rapport etter gjennomført internrevisjonvar på det tidspunktet ikke behandlet avstyret. Kommunerevisjonen har dessuten iundersøkelsen hatt fokus på tiltak som vargjennomført før eller i undersøkelsesperioden.Det fremkommer videre i rapportens kapittel4 at vognselskapet fra 2012 hadde innførten rutine for ledelsens gjennomgang avstyringssystemet, og at slik gjennomgang varment gjennomført for første gang høsten 2012.Kommunerevisjonen mener derfor å ha vist atselskapet har iverksatt tiltak for gjennomgang avstyringssystemet.Vedrørende styrets gjennomgang av selskapetsinternkontrollsystem er Kommunerevisjonenenig i at ekstern revisors halvårligegjennomganger er viktige kilder for styretsinformasjon om internkontrollsystemet.Kommunerevisjonens vurdering er likevel atdisse kildene ikke er tilstrekkelige ettersomde ikke gir et bilde av selskapets helhetligeog samlede internkontroll. En gjennomgang40Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASav selskapets helhetlige internkontroll kunneeksempelvis ha fanget opp hvorvidt ansvar ogmyndighet var entydige og klare og om styretsvedtak ble gjennomført som forutsatt (f. eksetisk regelverk). Det er i rapportens kapittel 5redegjort noe nærmere rede for dette.Kommunerevisjonen er videre enig i atstyret blant annet redegjør for sentralerisikoelementer, håndtering av risikoelementerog arbeidet med å sikre styringsverktøy iårsrapportene. Etter Kommunerevisjonenvurdering fremkommer dette også av rapporten,hvor det i kapitel 5 blant annet er vist til atstyrets vurdering av materiellforvaltning,gjenanskaffelsesevne, sentrale usikkerhetsfaktorermed mer fremkommer avårsrapportene. Kommunerevisjonen serat det er flere måter å kategorisere slikinformasjon på. Det Kommunerevisjonenetterlyser på dette området, er en kortfattetredegjørelse for selskapets internkontroll- ogrisikostyringsystem i årsrapporten. Eksempelvishva selskapets internkontroll er basert på(som anerkjente prinsipper), hvem somgjennomfører årlige risikovurderinger oghvordan disse gjennomføres (gjennomgang ogvurdering av kontrolltiltak, intervju e.l.), og omselskapet eksempelvis har en internrevisjon.Kommunerevisjonens vurdering på områdetendres derfor ikke.Kommunerevisjonen har ingen kommentarertil uttalelsen fra Byrådsavdeling for kultur ognæring.Kommunerevisjonen41

Rapport 23/201242Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASReferansera) Referanser fra Oslo kommuneBystyresak av 12.12.2002, sak 490 Anskaffelse av nye T-banevogner i OsloBystyresak av 28.09.2005, sak 370 Anskaffelse av 90 nye T-banevogner – Utløsning av opsjonBystyresak av 01.03.2006 sak 41 Ny organisering av kollektivtrafikken i Oslo – Etablering avadministrasjonsselskapBystyresak av 30.01.2008, sak 12 Utvidelse av Oslos T-banevognpark – Anskaffelse av flereT-banevognerBystyresak av 09.06.2010, sak 204 Årsrapport 2009 for Oslo Vognselskap ASBystyresak av 15.12.2010, sak 429 Videreutvikling av T-banens rutemodell – Anskaffelse av flereT-banevognerBystyresak av 08.06.2011, sak 151 Årsrapport 2010 for Oslo Vognselskap ASBystyresak av 25.04.2012, sak 98 Oslo Kommunes prinsipper for god eierstyring av aksjeselskaperBystyresak av 06.06.2012, sak136 Årsrapport 2010 for Oslo Vognselskap ASByrådssak av 17.10.2002, sak 289 Anskaffelse av nye T-banevogner i OsloByrådssak av 31.05.2005, sak 132 Ny organisering av kollektivtrafikken i Oslo – Etablering avadministrasjonsselskapByrådssak av 18.08.2005, sak 195 Anskaffelse av 90 nye T-banevogner – Utløsning av opsjonByrådssak av 01.11. 2007, sak 210 Utvidelse av Oslos T-banevognpark – Anskaffelse av flereT-banevognerByrådssak av 02.07.2010, sak 172 Videreutvikling av T-banens rutemodell, anskaffelse av fleret-banevognerByrådssak av 22.12.2011, sak 273 Oslo Kommunes prinsipper for god eierstyring av aksjeselskaperb) Oslo Vognselskap ASProtokoll fra generalforsamlinger i perioden fra 2007 til 2011Protokoll fra styremøter i Oslo Vognselskap AS i perioden fra 2007 til mai 2012Årsrapporter fra årene 2007 til 2011Selskapsinterne dokumenter som rutiner, prosedyrer, fullmaktshierarki, etisk regelverk,økonomirapporter m.m.Kommunerevisjonen43

Rapport 23/2012Oslo Vognselskap AS Forretnings- og virksomhetsplan for 2012Kontrakt mellom AS Oslo Sporveier og Konsortiet bestående av Siemens Aktiegesellschaft,Tyskland og Siemens Norge AS 04.09.2003 KON-2003-0063 Vedrørende kjøp av T-banemodulermed vedleggKontrakt mellom AS Oslo Sporveier og Konsortiet bestående av Siemens Aktiegesellschaft,Tyskland og Siemens Norge AS 29.09.2005 KON-2003-0063 Tilleggsavtale 1 Vedrørende utøvelseav opsjon – kjøp av ytterligere T-banemodulerKontrakt mellom Oslo Vognselskap AS og Konsortiet bestående av Siemens Aktiegesellschaft,Tyskland og Siemens Norge AS 24.09.2008 KON-2003-0063 Tilleggsavtale 2 Vedrørende utøvelseav opsjon – kjøp av ytterligere 20 T-banemodulerKontrakt mellom Oslo Vognselskap AS og Konsortiet bestående av Siemens Aktiegesellschaft,Tyskland og Siemens Norge AS 21.12.2010 KON-2003-0063 Tilleggsavtale 3 Vedrørende utøvelseav opsjon – kjøp av ytterligere 32 T-banemodulerFlere prosjektrelaterte dokumenter i MX3000 T-baneprosjektet.c) Eksterne referanserLov 13.06.1997 nr.44 om aksjeselskaper (aksjeloven)COSO – An integrated framework, utviklet av The Commission of Sponsoring Organisation of theTreadway Committee (COSO) i 1992Kommunenes sentralforbunds eierforum (2010): Anbefaling om eierskap, selskapsledelse ogkontroll av kommunalt/fylkeskommunalt eide selskaper og foretakNorsk utvalg for eierstyring og selskapsledelse 21.10.2010: Norsk anbefaling – Eierstyring ogselskapsledelse44Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASVedlegg 1 RevisjonskriterierRevisjonskriteriene er målestokken som ligger til grunn for Kommunerevisjonens vurderinger.Kriteriene i denne undersøkelsen er utledet fra ulike kilder, som selskapets kontrakter med SiemensAG, aksjeloven, samt prinsipper for selskapsledelse slik de er kommet til uttrykk i KS EierforumAnbefalinger om eierskap, selskapsledelse og kontroll av kommunalt/fylkeskommunalt eideselskaper og foretak og Norsk utvalg for eierstyring og selskapsledelse. Sistnevnte anbefalingergjelder i utgangspunktet børsnoterte selskaper med spredt eierskap. Det er imidlertid nærliggendeå anta at flere av prinsippene også er relevante for kommunale selskaper. Dette reflekteres også iat mange av anbefalingene til KS Eierforum og Norsk utvalg for eierstyring og selskapsledelse erparallelle.I tillegg legger vi det anerkjente og internasjonale rammeverket for internkontroll, kalt COSO –An integrated framework, til grunn for utledning av revisjonskriterier for vurdering av selskapetsinternkontroll. 8 Dette rammeverket er den målestokken som ofte benyttes ved revisors vurdering avinternkontroll. Rammeverket omtales heretter som COSO og er nærmere beskrevet i punkt 2 under.Vi har også i vår utledning av revisjonskriterier tatt hensyn til Oslo kommunes prinsipper for godeierstyring av aksjeselskaper fremsatt i byrådssak 273/11 av 22.12.2011. Prinsippene ble imidlertidførst vedtatt av bystyret 25.04.2012, sak 98, og var således formelt ikke gjeldende i den periodenvi har sett på i undersøkelsen. Vi har likevel valgt å ta med elementer fra de nye prinsippene ivår utledning. Noen av disse prinsippene kan sies å være en formalisering av allerede etablertpraksis, samtidig som de viser hvilke forventninger eier har til styring av kommunalt eide selskaperfremover.Undersøkelsens problemstillinger• Etterlever selskapet regelverk/retningslinjer ved anskaffelser?• Har selskapet tilstrekkelig internkontroll med anskaffelser?• Har styret i selskapet ivaretatt sitt tilsynsansvar på anskaffelsesområdet?Oslo Vognselskap AS’ kjernevirksomhet er i hovedsak anskaffelser av vognmateriell og oppfølingav kontrakt i den sammenheng. I den perioden vi ser på i vår undersøkelse, er det MX-vogner somhar vært anskaffet gjennom utøvelse av opsjon 2 og opsjon 3 i henhold til avtalen med SiemensAG fra 2003. Vi vil i denne undersøkelsen se nærmere på selskapets utøvelse av disse opsjonene.Herunder vil vi se nærmere på selskapets mottak av vogner utløst gjennom opsjon 2, samt påselskapets oppfølging av denne kontrakten i garantiperioden.Vi skal også se på selskapets internkontroll relatert til anskaffelsesområdet. Vi har valgt å se påselskapets internkontroll generelt sett. Så lenge anskaffelser er virksomhetens kjernevirksomhet,mener vi en slik generell gjennomgang er dekkende for anskaffelsesområdet.8The Commission of Sponsoring Organisation of the Treadway Committee (COSO) 1992.Kommunerevisjonen45

Rapport 23/2012Utøvelse av opsjoner, mottak og oppfølgingUnder denne problemstillingen skal vi se nærmere på Oslo Vognselskap AS’ utøvelse av opsjon 2og opsjon 3 i henhold til avtalen med Siemens AG. I tillegg skal vi se nærmere på selskapets mottakav T-banevogner utløst gjennom opsjon 2, og selskapets oppfølging av kontrakten i garantiperiodenfor disse vognene.Målestokken vi legger til grunn for å vurdere dette, vil i hovedsak være basert på opprinneligkontrakt med Siemens og rutiner som speiler god forretningsskikk og god internkontroll.Utøvelse av opsjonI henhold til aksjeloven (§ 6-14) har daglig leder ansvar for at formuesforvaltningen er ordnet påen betryggende måte. Det innebærer blant annet at selskapet bør ha etablert rutiner og tydeligeansvarsforhold som sikrer at utøvelse av opsjoner skjer på en betryggende måte, og at disseetterleves (god internkontroll). Dette gjelder også dersom det har oppstått endringer i opsjonen iforhold til opprinnelig kontrakt.Samtidig må utøvelse av opsjoner ha skjedd innenfor avtalte rammer. Ifølge den opprinneligekontrakten mellom AS Oslo Sporveier og SIEMENS AG fra 04.09.2003 9 kjøpte Oslo Sporveier AS33 T-banemoduler. Ifølge kontraktens punkt 15 Opsjoner hadde bestiller rett til å bestille ytterligere85 T-banemoduler blant annet på følgende betingelser:• Bestilling måtte skje innen 31.12 2006,• Opsjon kan utøves i alt fire ganger for minimum 10 T-banemoduler av gangen (maksimalt 85T-banemoduler)• Pris som avtalt i kontraktens Art. 12.5Det fremkom videre av kontraktens punkt 15 at bestilte opsjoner utgjorde en integrert del avkontrakten, og alle kontraktsvilkår og vedlegg i avtalen skulle gjelde for det som ble bestiltved slik opsjonsutøvelse. Alle garantiperioder skulle regnes ut fra de relevante begivenhetenesom fant sted innenfor hver bestilte opsjonsserie. Garantier er behandlet i kontraktens punkt 16Utbedringsgaranti. Kontrakten inneholdt samtidig en generell adgang til å avtale endringer.I tilleggsavtalen som ble utstedt ved utøvelse av første opsjon (tillegg 1) 29.09.2005 vedrørendekjøp av 30 T-banemoduler, ble perioden for seinere utøvelse av opsjoner utvidet til 31.12.2008.Samtidig ble det oppgitt at opsjon kunne utøves i alt tre ganger til med maksimalt 55T-banemoduler.I tilleggsavtalen som ble utstedt ved utøvelse av andre opsjon (tillegg 2) 24.09.2008 vedrørendekjøp av 20 T-banemoduler, ble perioden for seinere utøvelse av opsjoner utvidet til 31.12.2010 (jf.appendiks 16). Samtidig ble det oppgitt at den kunne utøves i alt to ganger til med maksimalt 35T-banemoduler.Utøvelsen av opsjon 3 ble avtalt 21.12.2010.9KONTRAKT mellom AS OSLO SPORVEIER (org.nr.915 070 434 Norge), heretter kalt “Bestilleren”, og Konsortietbestående av SIEMENS AG, Tyskland og SIEMENS AS, Norge, heretter kalt “Leverandøren”, vedrørende kjøp avT-banemoduler.46Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASMottak av vognerDaglig leders ansvar for formuesforvaltningen innebærer også at selskapet bør ha gode rutiner formottak av vogner samt tydelige og omforente ansvarsforhold i den forbindelse. Når det gjeldermottak av vogner utløst gjennom opsjon 2, kjøpte vognselskapet kapasitet og kompetanse fraeksterne aktører til å gjennomføre denne kontrollen. 10 Det er derfor viktig at ansvarsforholdet erklart definert i kontrakten som regulerer dette kjøpet. Det er videre viktig at det er etablert klarerapporteringslinjer som sikrer at vognselskapet mottar informasjon om hvorvidt mottakskontrollenfaktisk gjennomføres, samt om resultatet av mottakskontrollen.Det er også viktig at Oslo Vognselskap AS har etablert et system for håndtering av avvik, slik atdisse rapporteres rettmessig til leverandør.Oppfølging av kontrakt i garantifasenSelskapet bør også ha etablert rutiner for oppfølging av kontrakten i garantifasen. Ansvarsforholdog myndighet knyttet til oppfølging må være tydelige og omforente. Selskapet bør videre ha etablertklare rapporteringslinjer mellom de ulike aktørene som er involvert ved drift av vognene 11 , slik atvognselskapet mottar all nødvendig informasjon og dokumentasjon om hendelser i den aktuelleperioden. Det er også viktig at Oslo Vognselskap AS har etablert et system for håndtering av slikehendelser og rapportering til leverandør. Ikke minst er det viktig at dette systemet følges i praksis.Oppsummering av revisjonskriterierPå bakgrunn av redegjørelsen over har vi lagt følgende revisjonskriterier til grunn ved vår vurderingav opsjon 2 og 3, mottak og oppfølging i MX-prosjektet:• Det bør være utarbeidet rutiner og klare ansvarsforhold for utøvelse av opsjon, mottak avT-banevogner og oppfølging av kontrakt i garantiperioden.• Rutinebeskrivelsene og ansvarsforholdene bør etterleves i praksis.• Opsjonskontraktene må være inngått i tråd med betingelser i opprinnelig kontrakt mht. pris,tidsrom for utøvelse av kontrakt, antall moduler og utbedringsgaranti.• Opsjonskontrakt må være underskrevet av personer med nødvendig fullmakt.• Endringer etter opprinnelig kontrakt må være godkjent av personer med nødvendig fullmakt.Selskapets internkontrollsystemSom nevnt over synliggjør aksjeloven daglig leders ansvar og oppgaver i et aksjeselskap. Blantannet anfører loven at daglig leder står for den daglige ledelse av selskapets virksomhet og skalfølge de retningslinjer og pålegg styret har gitt. Daglig leder skal sørge for at selskapets regnskap eri samsvar med lov og forskrifter, og at formuesforvaltningen er ordnet på en betryggende måte(§ 6-14).Loven påpeker også at daglig leder jevnlig skal rapportere om virksomhetens status til selskapetsstyre. Herunder anfører loven at daglig leder minst hver fjerde måned, i møte eller skriftlig, skalgi styret underretning om selskapets virksomhet, stilling og resultatutvikling. Styret / det enkeltestyremedlem kan til enhver tid kreve at daglig leder gir styret en nærmere redegjørelse om bestemtesaker (§ 6-15).10Jf. avtale nr. 585007/OVS2010-001 mellom Kollektivtransportproduksjon AS v/verkstedenheten og Oslo VognselskapAS vedrørende utleie av personell til MX-prosjektet og gjennomføring av mottaksaktiviteter, MX3000.11KTP AS ved verkstedet, operatørselskapet Oslo T-banedrift AS, Ruter AS og Oslo Vognselskap AS.Kommunerevisjonen47

Rapport 23/2012For å sikre at selskapets virksomhet, regnskap og formuesforvaltning er gjenstand for betryggendekontroll, herunder sikre at selskapets anskaffelser gjennomføres på en god og målrettet måte, måOslo Vognselskap AS ha et internkontrollsystem som er etterprøvbart, og som bidrar til at man eri stand til å føre en kontroll med virksomheten. Internkontroll er basert virksomhetenes etablerterutiner/prosedyrer og aktiviteter som gjennomføres. Internkontroll kan videre defineres som enprosess, iverksatt av styret, ledelsen og annet personale, for å gi rimelig grad av sikkerhet formåloppnåelse innen følgende kategorier:• målrettet og effektiv drift• pålitelig finansiell rapportering• etterlevelse av lover, forskrifter og reglerCOSO anfører at internkontroll består av fem gjensidig avhengige bestanddeler eller elementer somalle har relevans for måloppnåelse innen de tre ovennevnte kategoriene. Kontrollelementene er:• kontrollmiljø• risikovurdering• kontrolltiltak• informasjon og kommunikasjon• overvåkingMer utfyllende om internkontrollDet er en direkte sammenheng mellom virksomhetens målsettinger og hvilke kontrolltiltak somanses som nødvendige for å nå målene. Kontrollelementene er byggesteinene eller ingrediensene idet interne kontrollarbeidet.Kontrollmiljøet omfatter blant annet følgende elementer:• kommunikasjon og håndtering av integritet og etiske verdier• virksomhetens kompetanse• deltakelse fra de med overordnet ansvar for styring og kontroll• organisasjonsstruktur, herunder opprettelse av hensiktsmessig organisering mht. viktigefullmakts- og ansvarsområder og hensiktsmessige rapporteringslinjer• tildeling av myndighet og ansvarRisikovurderingerMed risikovurderinger menes at ledelsen skal identifisere risiko som kan ha konsekvenser forvirksomhetens måloppnåelse. COSO-rapporten understreker viktigheten av at virksomhetengjennomfører risikovurderinger på flere nivåer og vurderer og prioriterer risikoreduserende tiltak.KontrolltiltakKontrolltiltak er handlingsplaner og rutiner som iverksettes for å sikre god risikohåndtering.Det er direkte sammenheng mellom virksomhetens målsettinger, vurdering av risiko og hvilkekontrolltiltak som anses som nødvendige for å nå målene. Kontrollaktiviteter utføres i heleorganisasjonen, på alle nivåer og i alle funksjoner, og omfatter en rekke aktiviteter, blant annet:• godkjennelser• fullmakter• gjennomgang av regnskap• arbeidsdeling48Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASInformasjon og kommunikasjonInformasjon er nødvendig på alle nivåer i en organisasjon for å identifisere, vurdere og håndtererisiko og på annen måte styre virksomheten mot måloppnåelse. Med kommunikasjon menesformidling av slik informasjon. COSO-rapporten understreker viktigheten av at det definereshensiktsmessige rapporteringsrutiner. Det er videre viktig at det finnes kanaler der ansatte kanmelde fra dersom de mistenker uredelig oppførsel.OvervåkingOvervåking er en prosess som vurderer hvor effektivt internkontrollsystemet fungerer over tid. Medovervåking menes ledelsens løpende overvåking av internkontrollen og vurdering av om kontrollenefungerer som forutsatt.Oppsummering av revisjonskriterierPå bakgrunn av redegjørelsen over har vi lagt følgende revisjonskriterier til grunn ved vår vurderingav selskapets internkontroll:• Daglig leder skal minst hver fjerde måned, i møte eller skriftlig, gi styret underretning omselskapets virksomhet, stilling og resultatutvikling.• Selskapet bør ha etablert et etterprøvbart internkontrollsystem. Herunder bør deto være etablert et godt kontrollmiljø hvor• etiske verdier er etablert• ansvar og myndighet er tydelig nedfelt og kjent i organisasjonen• selskapet har et bevisst forhold til virksomhetens kompetanse• hensiktsmessige rapporteringslinjer er etablerto gjennomføres jevnlige risikovurderinger, med påfølgende iverksettelse av nødvendigekontrolltiltako kanaliseres informasjon om virksomheten til daglig ledero gjennomføres løpende kontroll og oppfølging av selskapets virksomhetStyrets tilsynsansvarPlan for styrets arbeidI henhold til aksjeloven har styret et overordnet ansvar for selskapets forvaltning. Flere av vårekilder presiserer forvaltningsansvaret ved blant annet å påpeke nødvendigheten av at styret etablereren plan for sitt arbeid for å sikre et godt styrearbeid. Norsk utvalg for eierstyring anbefaler i kapittel9 at styret fastsetter en årlig plan for sitt arbeid med vekt på mål, strategier og gjennomføring.Oslo kommunes prinsipper for god eierstyring av aksjeselskaper viser til at styrets arbeid ledes avstyreleder som har et særlig ansvar for at styret som kollegium fungerer godt. Dette fordrer ifølgebyrådssaken blant annet en plan for styrets arbeid, herunder en plan for de ulike aktivitetene styretskal behandle årlig (prinsipp 2).EtikkDet å sikre at det etableres etiske retningslinjer, er også en oppgave for styret. Både Norsk utvalgfor eierstyring og selskapsledelse (punkt 1) og KS Eierforum (punkt 18) understreker det børetableres etiske retningslinjer for selskapsdriften.Kommunerevisjonen49

Rapport 23/2012Kommunens prinsipper for eierstyring understreker at aksjeselskapene skal være bevisst sittsamfunnsansvar, og påpeker blant annet at selskapene skal ha etiske regler minst tilsvarendekommunens etiske regler. Det påpekes også at økonomi og etikk bør forenes i tenkningen for helevirksomheten. Det understrekes videre at selskapene skal arbeide aktivt for å hindre misligheter ogkorrupsjon (prinsipp 2).Kompetanse og evaluering av styrets arbeidForvaltning av selskapet stiller krav til styret og dets kompetanse. KS Eierforum (punkt 9) påpekerat styret har et selvstendig ansvar for jevnlig å vurdere egen kompetanse i forhold til eiernes formålmed selskapet. Utvalget påpeker i den sammenheng at styret bør foreta en egenevaluering hvert år,når det gjelder både kompetanse og arbeid. Norsk utvalg for eierstyring (punkt 11) understrekerogså behovet for en årlig evaluering av styret.I henhold til kommunens prinsipper for eierstyring forventes det at styret utvikler kompetanse påområder det anser som viktig, også innen styrearbeid. Styret skal av den grunn jevnlig evaluere sittarbeid og sin arbeidsform (prinsipp 9).InternkontrollStyret har ansvar for forvaltning av selskapet og at det realiserer eiernes målsettinger. For å realiseremålsettinger er det viktig at det er etablert tilstrekkelig internkontroll. Styrets ansvar for dette ernærmere utdypet i flere av våre kilder.AksjelovenAksjeloven stiller blant annet krav til at styret sørger for forsvarlig organisering av virksomheten,fastsetter planer og budsjett for selskapets virksomhet og holder seg orientert om selskapetsøkonomiske stilling. Styret plikter videre å påse at dets virksomhet, regnskap og formuesforvaltninger gjenstand for betryggende kontroll.(§ 6-12).Loven sier videre at styret skal føre tilsyn med den daglige ledelsen og selskapets virksomhet forøvrig. Ivaretakelse av tilsynsansvaret er en av styrets primære oppgaver, særlig i virksomheter av etvisst omfang (jf. NOU 1996:3 kapittel 13.5.2, aksjeloven §5-5 s. 138).Loven påpeker at styret skal underrettes av daglig leder om selskapets virksomhet, stilling ogresultatutvikling minst hver fjerde måned, enten i møte eller skriftlig. I tillegg kan styret / detenkelte styremedlem til enhver tid kreve at daglig leder gir styret en nærmere redegjørelse ombestemte saker (§ 6-15).Anbefalinger fra Norsk utvalg for eierstyring og selskapsledelseIfølge utvalgets punkt 10 er formålet med risikostyring og internkontroll å håndtere, ikke eliminere,risikoer knyttet til virksomhetsutøvelsen, og å styrke kvaliteten på den finansielle rapporteringen.Effektiv risikostyring og god internkontroll bidrar til å sikre aksjeeiernes investeringer og selskapetseiendeler. Utvalget gir følgende presisering av styrets tilsynsansvar knyttet til internkontroll ogrisikostyring:• Styret skal påse at selskapet har god internkontroll og hensiktsmessige systemer for risikostyringi forhold til omfanget og arten av selskapets virksomhet. Internkontrollen og systemene bør ogsåomfatte selskapets verdigrunnlag og retningslinjer for etikk og samfunnsansvar.50Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASDet poengteres også at internkontroll omfatter retningslinjer, prosesser, oppgaver, adferd og andreforhold som• legger til rette for målrettet og effektiv virksomhet i selskapet og som gjør det mulig å håndtereforretningsrisiko, operasjonell risiko, risiko for overtredelse av lover og forskrifter samt annenrisiko som er av betydning for oppnåelse av selskapets forretningsmål• bidrar til å sikre kvaliteten på intern og ekstern rapportering• bidrar til å sikre at selskapet opererer i samsvar med relevante lover, forskrifter og interneretningslinjer for virksomheten, herunder selskapets verdier og retningslinjer for etikk ogsamfunnsansvar.Videre presiseres det at• styret selv må danne seg en oppfatning om selskapets internkontroll, basert på informasjon somblir forelagt styretRapporteringen fra ledelsen til styret bør ifølge utvalget gi en balansert fremstilling av alle risikoerav betydning i forhold til arten av selskapets virksomhet, og hvordan internkontrollsystemethåndterer disse risikoene. Utvalget påpeker videre at styret bør• årlig foreta en gjennomgang av selskapets viktigste risikoområder og internkontroll.Gjennomgangen bør ta for seg:- endringer i forhold til forrige års gjennomgang knyttet til art og omfang av risikoer avbetydning, og selskapets evne til å tilpasse seg virksomhetsendringer- og eksterne endringer;- omfanget av og kvaliteten på ledelsens løpende oppfølging av risikoer oginternkontrollsystem, og dersom det er relevant, internrevisjonens- arbeid;- omfang og hyppighet av ledelsens rapportering til styret om resultatene av denneoppfølgingen, som gjør det mulig for styret å foreta en samlet- vurdering av kontrolltilstanden i selskapet og hvordan risikoene håndteres;- tilfeller av betydelig kontrollsvikt eller svakheter som er avdekket i løpet av året, ogom de har hatt, kunne ha hatt eller vil kunne ha betydelig innvirkning på selskapetsøkonomiske resultat eller stilling, og hvordan selskapets eksterne rapporteringsprosessfungerer.• i årsrapporten gi en beskrivelse av hovedelementene i selskapets interne kontroll ogrisikostyringssystemer knyttet til dets finansielle rapportering.Redegjørelse for selskapets styring og kontrollNorsk utvalg for eierstyring punkt 10 anbefaler at styret i årsrapporten gir en beskrivelse avhovedelementene i selskapets internkontroll og risikostyringssystemer knyttet til dets finansiellerapportering.KS Eierforums anbefaling nr. 11 påpeker at styret bør gi en samlet redegjørelse for selskapetsstyring og ledelse i årsrapporten. Dersom dette ikke er gjort, skal det forklares.Oslo kommunes prinsipper fastslår at det forventes rapportering om selskapenes måloppnåelsegjennom årsberetning, årsregnskap og kvartalsrapporter med regnskap.Kommunerevisjonen51

Rapport 23/2012Oppsummering av revisjonskriterierPå bakgrunn av redegjørelsen over har vi lagt følgende revisjonskriterier til grunn ved vår vurderingav styrets tilsynsansvar:• Styret bør fastsette en årlig plan for sitt arbeid i styret.• Styret bør etablere etiske retningslinjer for selskapet.• Styret bør foreta en årlig evaluering av sitt arbeid og sin kompetanse.• Styret skal holde seg orientert om selskapets økonomiske stilling og utvikling.• Styret skal påse at selskapet har betryggende internkontroll og hensiktsmessige systemer forrisikostyring.• Styret bør årlig foreta en gjennomgang av selskapets internkontroll og de viktigsterisikoområdene.• Styret bør i årsrapporten gi en samlet beskrivelse for selskapets styring og ledelse samt enbeskrivelse av hovedelementene i selskapets internkontroll og risikostyringssystemer.52Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASVedlegg 2 MetodeGenerelt om forvaltningsrevisjonDe sentrale elementene i prosjektets metode er standard for forvaltningsrevisjon. Med utgangspunkti temaer og problemstillinger som ligger i oppdraget fra kontrollutvalget, utleder vi relevanterevisjonskriterier. Deretter kartlegger og beskriver vi undersøkt virksomhets systemer, praksiseller resultater på aktuelle områder. Faktabeskrivelsen blir så vurdert med utgangspunkt irevisjonskriteriene. Dette leder frem til konklusjoner og anbefalinger.Nedenfor gjør vi nærmere rede for den metoden og fremgangsmåten som er lagt til grunn i denneundersøkelsen.Undersøkelsesperiode og tidsrom for datainnsamlingUndersøkelsen ble formelt startet opp i mars 2012, og oppstartsbrev ble sendt til byråden for kulturog næring samt daglig leder og styreleder i Oslo Vognselskap AS 21.03.2012.Oslo Vognselskap AS ble nærmere orientert om undersøkelsen i eget oppstartsmøte 12.04.2012.Hensikten med møtet var å informere selskapet nærmere om undersøkelsens problemstillinger,undersøkelsesopplegget og kilder for utarbeidelse av revisjonskriterier. Samtidig ønsket vitilbakemeldinger fra vognselskapet om dette.Undersøkelsesperioden omfatter perioden fra 2007 til 2011. Innsamling av skriftlig materialeskjedde hovedsakelig i april, mai og juni 2012, og intervjuene ble i hovedsak avholdt i mai og juni.Dialog om revisjonskriterieneKriteriene i denne undersøkelsen er primært utledet fra ulike kilder, som aksjeloven, selskapetskontrakter med Siemens AG samt prinsipper for selskapsledelse slik de er kommet til uttrykk i KSEierforum Anbefalinger om eierskap, selskapsledelse og kontroll av kommunalt/fylkeskommunalteide selskaper og foretak og Norsk utvalg for eierstyring og selskapsledelse.I tillegg har vi lagt det anerkjente og internasjonale rammeverket for internkontroll, COSO – Anintegrated framework, til grunn for utledning av revisjonskriterier for vurdering av selskapetsinterne kontroll.Vi har også i vår utledning av revisjonskriterier tatt hensyn til Oslo kommunes prinsipper for godeierstyring av aksjeselskaper fremsatt i byrådssak 273/11 av 22.12.2011. Prinsippene ble vedtattav bystyret 25.04.2012, sak 98, og var således formelt ikke gjeldende i den perioden vi har sett på iundersøkelsen. Vi har likevel valgt å ta med elementer fra de nye prinsippene i vår utledning. Noenav disse prinsippene kan sies å være en formalisering av allerede etablert praksis, samtidig som deviser hvilke forventninger eier har til styring av kommunalt eide selskapet fremover.Oslo vognselskap AS fikk oversendt revisjonskriteriene til vurdering 25.05.2012. Selskapet haddeingen kommentarer til disse.Kommunerevisjonen53

Rapport 23/2012Nærmere om innsamling og kvalitetssikring av dataFaktabeskrivelsen er i hovedsak basert på gjennomgang av relevant skriftlig materiale oginformasjon innhentet fra relevante aktører i Oslo Vognselskap AS.DokumentstudierFlere dokumenter er gjennomgått, blant andre disse:• aktuelle bystyre- og byrådssaker som omhandler Oslo Vognselskap AS og/ellerkollektivtrafikken i Oslo kommune• protokoll fra generalforsamlinger i perioden fra 2007 til 2011• protokoll fra styremøter i Oslo Vognselskap AS samt relevante saksfremlegg i utvalgte saker iperioden fra 2007 til mars 2012• selskapsinterne dokumenter som omhandler selskapets ansvars- og myndighetsforhold,kvalitetsstyringssystem, virksomhetsplan m.m.• omfattende prosjektspesifikke dokumenter i MX3000-prosjektetIntervjuDet er gjennomført seks intervjuer med representanter for selskapet, hhv. styreleder, daglig leder,kontraktssjef og teknisk sjef (som også er prosjektleder i MX3000-prosjektet), og to møter medøkonomisjef.Intervjuene var semistrukturerte. Det innebærer at vi på forhånd hadde utarbeidet en intervjuguidemed spørsmål vi ønsket besvart, samtidig som vi stilte åpne spørsmål som gav informanteneanledning til å informere om forhold de selv anså som viktige i relasjon til de temaene somundersøkelsen omfattet.VerifiseringSamtlige informanter fikk oversendt referater fra intervjuene, og de fikk anledning til å korrigere,utdype og bekrefte informasjon. Vi fikk tilbakemelding fra alle informantene, og har endretintervjureferatene i den grad det var aktuelt.En samlet faktabeskrivelse er utarbeidet på bakgrunn av data innhentet fra aktuelle dokumenterog gjennomførte intervjuer. Faktabeskrivelsen ble oversendt per e-post til Oslo Vognselskap AS24.08.2012 og styreleder 28.08.2012 for verifisering.Oslo Vognselskap AS hadde få kommentarer til faktabeskrivelsen, men kom på enkelte områdermed noe utdypende informasjon. Alle kommentarene er innarbeidet i rapporten. Unntaket er enkeltekommentarer selskapet hadde til informasjon vi hadde hentet direkte fra skriftlig materiale. Dissekommentarene har vi ikke innarbeidet i rapporten.Intern kvalitetssikringRapporten har vært underlagt intern kvalitetssikring i Kommunerevisjonen. Blant annet ble det gjorten kvalitetssikring av at revisjonskriteriene som var lagt til grunn, var relevante for undersøkelsensproblemstillinger. Videre ble det gjort en kvalitetssikring av at det innhentede datagrunnlaget varrelevant og dekkende for kriteriene det skulle vurderes opp mot, og for undersøkelsens vurderingerog konklusjoner.54Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASDataenes gyldighet og pålitelighetI denne undersøkelsen har vi sammenstilt og analysert den innhentede dokumentasjonen som erbeskrevet ovenfor. Dette omfatter blant annet relevant skriftlig dokumentasjon fra de utvalgteprosjektene supplert med informasjon fra intervjuer med aktuelle aktører. Samlet sett mener viat datagrunnlaget i undersøkelsen gir et tilfredsstillende pålitelig og gyldig grunnlag for vårevurderinger og konklusjoner.Kommunerevisjonen55

Rapport 23/2012Vedlegg 3 Høringsuttalelse Byrådsavdeling for kultur ognæringOslo kommuneByrådsavdeling for kultur og næringKommunerevisjonenGrenseveien 880663 OsloDato: 29.11.2012Deres ref: Vår ref (saksnr): Saksbeh: Arkivkode:201201640-6 Jon Melle, 23461504 126ANSKAFFELSER OG INTERNKONTROLL I OSLO VOGNSELSKAP AS -RAPPORT TIL UTTALELSEDet vises til Deres brev av 16. november vedrørende rapport fra undersøkelsen utvidetselskapskontroll i Oslo Vognselskap AS (OVS) med fokus på anskaffelser.Byrådsavdeling for kultur og næring er kjent med selskapets kommentarer til ”Rapport tiluttalelse” i sitt brev av 28. november til Kommunerevisjonen der det bl.a. fremkommer at OVSkan tilslutte seg alle de anbefalinger som fremkommer i rapportens sammendrag ogkonklusjonskapittel. OVS oppfatter Kommunerevisjonens anbefalinger å være hensiktsmessigeforbedringstiltak som kan bidra til mer systematikk i det arbeidet som styret ogadministrasjonen utfører. På flere områder er allerede de forbedringstiltak som foreslåsimplementert og selskapet har satt opp en oversikt over hva som er gjennomført samt frister forå gjennomføre de øvrige anbefalte tiltakene.På bakgrunn av ovenstående har byrådsavdeling for kultur og næring ingen ytterligerekommentarer.Med hilsenGro BalaskommunaldirektørKjell O. Vilandeierskap- og prosjektsjefGodkjent og ekspedert elektroniskKopi: Oslo Vognselskap ASByrådsavdeling for kultur ognæringPostadresse:Rådhuset, 0037 OsloE-post: postmottak@byr.oslo.kommune.no56Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASVedlegg 4 Høringsuttalelse Oslo Vognselskap ASKommunerevisjonen57

Rapport 23/201258Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASKommunerevisjonen59

Rapport 23/201260Kommunerevisjonen

Anskaffelser og internkontroll i Oslo Vognselskap ASKommunerevisjonen61

Rapport 23/201262Kommunerevisjonen

Oslo kommuneKommunerevisjonenGrenseveien 88, 0663 OSLOTelefonnummer: 23 48 68 00Telefaksnummer: 23 48 68 01www.krv.oslo.kommune.nopostmottak@krv.oslo.kommune.noGrafisk produksjon: Allkopi AS - 23.12