Tarkastusjohtaja Marianne Nihtilä 12.2.2025:

Toiminta ja henkilöstö

Kuntalain (410/2015) mukaan kunnan ja kuntakonsernin sisäisen valvonnan ja riskienhallinnan perusteista tulee päättää valtuustossa. Turun kaupunginvaltuusto päätti perusteista 14.2.2022 § 28. Perusteilla ohjataan sitovasti kaupunginhallitusta sisäisen valvonnan ja riskienhallinnan ohjeistamisessa ja järjestämisessä. Kaupunginhallituksen ohella lautakunnat vastaavat omien tehtäväalueidensa sisäisen valvonnan ja riskienhallinnan järjestämisestä, jolloin toimeenpanovastuu on ko. tehtäväalueen johtavalla viranhaltijalla. Perusteiden mukaan sisäisen valvonnan ja riskienhallinnan toimeenpanosta tehdään vuosittain itsearviointi, jonka perusteella lautakunnat ja yhteisöjen hallitukset hyväksyvät omilta vastuualueiltaan selonteon ja riskiarvion.

Hallintosäännön mukaan kaupungin konsernihallinnossa toimii sisäinen tarkastus, joka konsernihallinnon hallinnon järjestämispäätöksen mukaisesti toteuttaa sisäisen valvonnan ja riskienhallinnan asianmukaisuuden ja riittävyyden arviointia ja tarkastusta hyväksytyn toimintasuunnitelmansa sekä kansliapäällikön antamien erillistoimeksiantojen ja tehtävien mukaisesti. Sisäinen tarkastus toimii kansliapäällikön suorassa ohjauksessa. Sisäisen tarkastuksen henkilöstön lukumäärä vuonna 2024 oli kaksi henkilöä, osan vuotta käytännössä kuitenkin vain yksi henkilö perhevapaista johtuen. Kalenterivuoden työaika käytettiin pääosin sisäisen valvonnan ja riskienhallinnan toimeenpanon arviointiin ja kehittämiseen, toimintasuunnitelman mukaisten tarkastusten ja erillistoimeksiantojen toteutukseen, aiemmin valmistuneiden tarkastusten jälkiseurantaan, sisäisen valvonnan kehittämiseen ja koulutuksiin sekä kouluttamiseen. Lisäksi työaikaa käytettiin kaupungin ilmoituskanavaan tulleiden ilmoitusten käsittelyyn. Tavoite- ja kehityskeskustelut on käyty vuosittain pääsääntöisesti SAP SuccessFactoria hyödyntäen.

Talousarvio

Vuoden 2024 talousarvion toteuma oli noin 143.000 euroa (per 28.1.2025). Toiminnan määrärahat vuonna 2024 olivat noin 172.000 euroa.

Ilmoituskanavassa vastaanotetut ilmoitukset ja niiden käsittely

Kaupungilla on käytössä ilmoittajansuojelulain (Laki Euroopan unionin ja kansallisen oikeuden rikkomisesta ilmoittavien henkilöiden suojelusta 1171/2022) mukainen ilmoituskanava. Kaksi kaupunkikonsernin tytäryhteisöä hyödyntää ostopalveluna emokaupungin käytössä olevaa ilmoituskanavaa.

Ilmoitukset auttavat kaupungin toiminnan kehittämisessä, väärinkäytösten havaitsemisessa ja niiden ehkäisemisessä. Ilmoituksia käsittelevät kaupunginhallituksen maaliskuussa 2023 päättämät tahot. Ilmoituskanavaan voi tehdä myös anonyymejä sekä ilmoittajansuojelulain soveltamisalaan kuulumattomia ilmoituksia. Kanavan tavoitteena on, että ilmoittaminen on turvallista, eikä ilmoittajaan kohdisteta vastatoimia. Vuonna 2024 ilmoituskanavassa vastaanotettiin yhteensä 57 ilmoitusta. Kanavan olemassaolo on tiedostettu hyvin ja sitä on myös hyödynnetty rikkomusten ilmoittamisessa. Ilmoitukset ovat olleet pääosin aiheellisia, mutta vain osa niistä kuului ilmoittajansuojelulain soveltamisalaan. Tehtyjen ilmoitusten aiheet ovat vaihdelleet kohtalaisen vakavista rikkomusepäilyistä varsin pieniin asioihin. Kaikki ilmoitukset on käsitelty määritellyn toimintamallin mukaisesti ja useampi ilmoitus on johtanut sisäisen valvonnan kehittämistoimenpiteisiin. Henkilöstölle on vuoden aikana järjestetty koulutusta ilmoittajansuojelulaista.

Tarkastusten toteuttaminen

Kalenterivuoden aikana tehtävät tarkastukset perustuvat toimintasuunnitelmaan, joka laaditaan toimintavuotta vuotta edeltävän syksyn aikana. Suunnitelmaluonnos viedään kansliapäällikön hyväksyttäväksi viimeistään toimintavuoden tammikuussa. Osa tehtävistä tarkastuksista on toimintasuunnitelmaan sisältymättömiä erillistoimeksiantoja. Osa tarkastuksista puolestaan kohdistuu aiemmin tehdyissä tarkastuksissa annettujen toimenpidesuositusten toteutusten jälkiseurantaan. ​

Tarkastuksissa arvioidaan hallinnon, talouden ja toiminnan edellyttämien valvontamekanismien toimivuutta. Tarkastukset pyritään toteuttamaan poikkihallinnollisina, esimerkiksi tiettyä toimintoa koskevina arviointeina. Osa tarkastuksista voi kohdistua myös tiettyyn palvelukokonaisuuteen, palvelualueeseen, vastuualueeseen tai yksikköön. Erillistoimeksiantoina tehtävät tarkastukset toteutetaan noudattaen sovittuja rajauksia. Sisäisen valvonnan arvioinneissa pyritään hyödyntämään prosessikuvauksia, mikäli sellaiset on laadittu. Organisaatiomuutokset edellyttävät usein uutta prosessien arviointia myös sisäisen valvonnan menettelytapojen osalta.

Tarkastusten yhteydessä tehtyjä havaintoja hyödynnetään kaupungin toimintakertomuksen sisäisen valvonnan ja riskienhallinnan selonteon taustamateriaalina. Myös palvelukokonaisuuksien, palvelualueiden, muiden yksiköiden ja tytäryhteisöjen vuosittain itsearviointeina laatimia sisäisen valvonnan selontekoja käytetään vastaavalla tavalla kaupungin toimintakertomuksen sisäisen valvonnan ja riskienhallinnan selonteon taustamateriaalina. Sisäinen tarkastus on luonut Granite-tietojärjestelmään selontekopohjan itsearviointeina tehtävien selontekojen laatimista helpottamaan. Pääsääntöisesti selonteot onkin laadittu Granite -järjestelmään.

Kuntien sisäisen valvonnan arvioinnin painopiste on siirtynyt kaupunkikonsernin kaikkien toimintojen valvontaa painottavaan arviointiin. Riittävän kokonaiskuvan saaminen sisäisen valvonnan ja riskienhallinnan toimeenpanosta konsernissa edellyttää tietoa tytäryhteisöjen soveltamista sisäisen valvonnan menetelmistä. Tytäryhteisöjen sisäisen valvonnan ohjeistuksen ja valvontakeinojen olemassaolon karkean tason läpikäynti on sisäisen tarkastuksen keskipitkän aikavälin tavoite. Muut tytäryhteisöjen sisäiseen valvontaan kohdentuvat tarkastukset suoritetaan joko kaupungin johdolta saadun määräyksen perusteella tai sopimalla tarkastuksesta tytäryhteisön johdon kanssa.

Tarkastushavaintojen raportointi

Sisäisen tarkastuksen käytössä olevaan Granite -järjestelmään tehtyjen tarkastusten raporttiluonnokset toimenpidesuosituksineen toimitetaan kommentoitavaksi tarkastettuun yksikköön, jonka jälkeen ne käsitellään tarkastusjohtajan ja kansliapäällikön yhteisessä palaverissa. Kansliapäällikön hyväksymät tarkastusraportit ja niiden perusteella mahdollisesti tehdyt päätökset lähetetään tiedoksi ja/tai toimenpiteitä varten tarkastetun toiminnon vastuuhenkilöille sekä palvelukokonaisuuden johdolle. Tytäryhteisöjä koskevien tarkastusten raporttien käsittelystä sovitaan tapauskohtaisesti.

Tarkastushavaintojen perusteella annettujen toimenpidesuositusten toteuttaminen pyritään käymään läpi noin vuoden sisällä varsinaisen tarkastuksen valmistumisen jälkeen. Jälkitarkastuksen avulla pyritään varmistumaan siitä, että annetut suositukset on käsitelty ja huomioitu asianmukaisesti.

Vuoden 2024 tarkastukset ja keskeiset havainnot

Vuoden 2024 aikana valmistui yhteensä 14 tarkastus-, jälkitarkastusraporttia tai muuta selvitystä. Näistä yhdeksän oli poikkihallinnollisia ja loput koskivat pääosin emokaupungin palvelukokonaisuuksia tai palvelualueita. Valmistuneiden tarkastusten lukumäärä vaihtelee vuosittain niiden laajuuden mukaan.

Vuonna 2024 tehdyt tarkastukset ja arvioinnit koskivat muun muassa omaisuuden hallintaa, maksukorttiostoja, sopimushallintaan liittyen sähköisen allekirjoittamisen prosessia, kassatoimintojen valvontakeinoja sekä ohjeiden ja kuvattujen toimintatapojen noudattamista läpikäydyissä prosesseissa. Keskeiset tarkastushavainnot liittyivät muun muassa ohjeistuksen ja/tai kuvatun toimintaprosessin ajantasaisuuteen ja kattavuuteen, riittävään jalkautukseen, noudattamiseen ja noudattamisen seurantaan. Toiminta ei aina vastaa esimerkiksi valvonnan osalta prosessikuvauksessa tai ohjeistuksessa esitettyä. Lisäksi puutteita oli havaittavissa sisäisen valvonnan riittävyydessä ja valvontakeinojen sisällyttämisessä joihinkin prosesseihin.

Tarkastuksiin perustuvien havaintojen lisäksi, sisäinen tarkastus teki myös muita havaintoja sisäisen valvonnan ja riskienhallinnan järjestämisen osalta. Nämä havainnot perustuvat osittain palvelukokonaisuuksien, -alueiden ja joidenkin vastuualueiden itsearvioinneissa antamiin tietoihin.

• Keskeiset prosessit valvontakeinoineen on jo kuvattu joissakin palvelukokonaisuuksissa ja -alueilla. Osalla prosessikuvausten laatiminen, nykyisten kuvausten päivittäminen tai valvontatoimenpiteiden sisällyttäminen kuvauksiin on tunnistettu kehittämiskohteeksi ja nostettu kehittämistoimenpiteisiin mutta ei vielä toteutettu. Nykytilanteessa keskeisiä prosessikuvauksia ei ole tehty yhtenäisellä tavalla ja lisäksi niitä on tallennettu eri tietojärjestelmiin.
• Keskitettyä käyttöoikeushallintaa ei ole. Työntekijöille on myönnetty käyttöoikeuksia eri järjestelmiin eri esihenkilöiden toimesta eri ajankohtina. Palvelussuhteen päättyessä tai tehtävien muuttuessa saattavat henkilön käyttöoikeudet jäädä poistamatta tai päivittämättä. Pääosa käyttövaltuuksista poistuu palvelussuhteen päättymisen yhteydessä ADTurku -tunnusten poistuessa, mutta kokonaiskuvaa henkilöiden käyttöoikeuksista ei pääosin ole.
• Sopimusten valvonta ei ole joidenkin itsearviointien mukaan ollut systemaattista ja yhtenäistä, eikä kokonaiskuvaa sopimusten arvosta tai niihin liittyvistä riskeistä ole kaikilta osin ollut. Kaupungin laajuisen sopimushallinnan, sopimusten löydettävyyden ja tiedolla johtamisen kannalta on tärkeää, että kaikki sopimukset ovat samassa paikassa. Kaupunki on ottanut käyttöön Cloudia Sopimus -järjestelmän. Voimassa olevien sopimusten siirtäminen sovitusti uuteen järjestelmään on kuitenkin vielä kesken.
• Aiemmin käytössä ollut irtaimistojärjestelmä korvattiin tilikauden aikana uudella Turku PLM -järjestelmällä. Kaikki irtaimistoluettelot eivät kuitenkaan olleet vielä ajan tasalla tilikauden 2024 päättyessä.
• Palvelukokonaisuudet, -alueet ja yksiköt kirjaavat Granite-järjestelmän ERM kokonaisvaltainen riskienhallinta -moduuliin hyvinkin eritasoisia riskejä. Lisäksi kirjaamisen tarkkuus vaihtelee, osa ei ole kirjannut esimerkiksi riskin hallintakeinoa, omistajaa tai ei ole päivittänyt riskin tilaa tai muita tietoja. Riskienhallinnan ja sisäisen valvonnan ohjeen mukaan keskeiset toteutuneet riskit tulee kirjata riskienhallintaohjelmaan. Ei ole selvää, miten tieto järjestelmään kirjatuista riskeistä ja niiden hallintakeinoista tai toteutuneista riskeistä kulkee organisaatiossa tavoittaen tarpeellisilta osin kaupungin ylimmän johdon. Riskienhallinnan ja sisäisen valvonnan ohjeen mukaan kaupunkikonsernin riskienhallintaa ja sisäistä valvontaa arvioi ja kehittää kansliapäällikön nimeämä riskienhallinnan koordinaatioryhmä, jonka puheenjohtaja raportoi riskienhallinnasta kaupungin johdolle. Koordinaatioryhmä ei ole kokoontunut vuoden 2024 aikana.
• Riskienhallinnan osalta puutteiksi ja kehittämiskohteiksi on osittain tunnistettu mm. riskien hallintakeinojen toteutuksen seuranta. Osasta itsearviointeja kävi ilmi, ettei käytössä olevaa riskien luokittelua pidetä riittävänä. Granite-järjestelmän ERM kokonaisvaltainen riskienhallinta -moduulia ei tällä hetkellä hyödynnetä riittävästi, mikä voi johtua esimerkiksi riittämättömästä järjestelmän käytön osaamisesta. Osa riskeistä on tunnistettu sellaisiksi, joiden osalta riskienhallintatoimenpiteiden omistajuus on muualla organisaatiossa. Näiden riskien osalta tulisi selvittää, miten hallintatoimenpiteiden omistaja on varautunut kyseisiin riskeihin. Osasta selontekoja käy ilmi, että tämä on koettu haasteelliseksi, eikä näin käytännössä toimita.

Tarkastustoiminnan arviointi ja kehittäminen

Tarkastuksien perusteella annettujen suositusten toteutumista on seurattu jälkitarkastuksien yhteydessä lasketun toteumaprosentin avulla. Vuonna 2024 suositusten toteuman keskiarvo oli 75 % (67 % vuonna 2023 ja 65 % vuonna 2022), mikä tarkastuksien vaikuttavuuden mittarina on hyvä arvo.

Sisäinen tarkastus on vuoden 2022 alusta lähtien dokumentoinut tekemänsä tarkastukset Granite -järjestelmään. Tarkastusten kaikkia työvaiheita tarkastuskohtaisesta suunnittelusta, toteutuksen dokumentoinnista raportointiin ja seurantaan hoidetaan järjestelmän avulla. Lisäksi sisäinen tarkastus on luonut järjestelmään selontekopohjan palvelukokonaisuuksien, palvelualueiden ja tytäryhteisöjen itsearviointeina tehtävien selontekojen laatimista helpottamaan. Granite -järjestelmään on vuoden 2024 aikana tehty joitakin parannuksia ja kehitystyötä tullaan jatkamaan vuonna 2025.

Sisäinen tarkastus jatkaa edelleen kohdennettuja koulutuksia ja perehdytyksiä sisäisen valvonnan osaamisen syventämiseksi ja kehittämiseksi organisaatiossa.

Kansliapäällikkö Tuomas Heikkinen:

Ehdotus​​Kaupunginhallitus merkitsee yhteenvedon sisäisen tarkastuksen toiminnasta vuonna 2024 tiedoksi.

PäätösEhdotus hyväksyttiin.