Controls and Performance Audit Dece

Controls and Performance Audit
December 2012
This report is intended solely for the information and use of OMB, DOR and the State Budget Committee and is not intended to be, and should not be, used by any other party, with the exception of oversight agencies for the performance of their oversight responsibilities.


Contents
Contents
Background 4
Executive Summary 6
Overview 6
Summary of Opportunities for Improvement 8
Scope and Methodology 13
Opportunities for Improvement 16
Known and Identified Errors 18
Reconciliations of Funds 18
Unreconciled Accounts 19
Organizational Wide Opportunities for Improvement 20
Control Environment 20
Integrated Tax System 21
Key Operational Business Process Opportunites for Improvement 22
Taxpayer Registration and Education 22
Perform Front-End Processing 23
Process Tax Return Data 25
Process Receipts 26
Perform Billing Activities 28
Issue Refunds or Credits 28
Provide Taxpayer Assistance 31
Perform Collection Activities (past-due items) 31
Perform Enforcement Activities 33
Perform Tax Administration and Analysis 35
Manage Revenue Accounting and Distribution 36
Key Infrastructure Business Process Opportunities for Improvement 40
Plan for and Manage the Organization 40
Manage Organizational Design 41
Manage Information Technology 44
Manage Financial Accounting and Reporting 51
Perform Internal Audit 58
Legal 59
Report Administration 61
Appendix A — Updated Key Business Process Maps 63

.

Background
Background
In May 2012, OMB embarked on performing an independent risk assessment and internal Controls and Performance Audit of DOR. This initiative related to concerns that arose over the Organization’s information technology (IT) systems and financial operations after two significant financial errors were discovered.
DOR is the state entity that collects and accounts for the majority of general fund tax revenues for the State of Indiana (the “State”). DOR is responsible for assessing and collecting the taxes and transferring them into proper funds so that they may be utilized by the State and, when required, local governments as prescribed by statute. It is also responsible for managing taxpayer accounts and for generating reports that are utilized to distribute certain local revenues, such as local option income taxes (LOITs), food and beverage, auto rental, professional sports development areas, etc., back to local governments.
DOR has strategically focused its efforts on increasing customer satisfaction and serving its customer, the Indiana taxpayer. In recent years they streamlined operational areas, which resulted in more efficient returns processing and an enhanced taxpayer experience. Since 2008, DOR has significantly reduced the time frame for processing returns while also cutting the processing cost per return. With their focus primarily on processing taxes, support areas such as information systems management and financial accounting and reporting appear to have been a lower priority for the Organization. Without this same degree of focus, the control environment and importance of financial and IT controls were not as rigorous in preventing or detecting errors within the financial accounting systems.
Within the past year, DOR discovered two significant errors regarding corporate tax and LOIT distributions. Specifically, DOR discovered that $320 million of corporate tax e-file payments were not transferred from a holding account, thereby overstating the account balance of one account while understating the balance of another. Additionally, DOR identified that $206 million in LOITs were not distributed to local governments because programming changes related to new legislative rules were not thoroughly tested within the system and the allocation of the funds was not correctly computed. DOR has acknowledged these errors and is taking proactive measures to reclaim the trust of the taxpayers and the legislature.
As a result of DOR’s challenges, a new Revenue Commissioner and Chief Financial Officer were hired in May 2012, soon followed by a new Chief Information Officer, two Deputy Controllers and a Strategic Transformation Initiatives Leader. Additionally, some supervisory and management staff have also turned over, with new individuals being placed into those positions. This new management team is focused on evaluating and correcting the identified errors while identifying other risks requiring remediation.
OMB initiated an independent and objective Risk Assessment along with a Controls and Performance Audit of DOR to analyze the circumstances and corrective actions necessary for the identified errors along with the identification of additional risks and concerns that may exist in DOR. OMB’s expectation is that the final Controls and Performance Audit report will provide recommendations for improving IT and financial controls and other recommendations deemed
Background
appropriate to include replacement of IT system(s), Organizational/structural changes, legislative changes, etc. As such, Deloitte & Touche was contracted to perform the requested services, starting with a risk assessment and continuing into the Controls and Performance Audit.
The risk assessment process identified and risk ranked eighteen key business processes for the Organization’s performance audit universe. Nine key business processes were identified as high risk, eight were identified as medium risk, and one was identified as low risk. Furthermore, several general risk themes became apparent and relate to one of the following fundamental questions:
• Does the Organization have the right strategy and governance mechanisms in place to achieve its mission?
• Does the Organization have the right processes and technologies in place to support its strategies?
• Does the Organization have the right people in place to execute the processes and technologies in accordance with the Organization’s expectations?
The Controls and Performance Audit further examined these risk themes along with the specific risks identified within the risk assessment and the ensuing report presents the results of this work.  
Executive Summary
Overview
Deloitte & Touche performed a Controls and Performance Audit of the key business processes within DOR based on the initial risk assessment concluded in August 2012. The testing covered eighteen key business processes as well as the identified errors that were recently uncovered. The Controls and Performance Audit was directed toward determining whether the foundational elements of people, processes, technology and governance within the Organization are adequately utilized, efficiently designed and operating effectively.
A number of significant opportunities for improvements were identified which highlights the need for DOR to enhance their key business processes and supporting technologies to better serve the needs of the Organization and ultimately the Indiana taxpayer. The issues identified are an accumulation of events and decisions that have been made over several decades which contributed to a weak control environment that resulted in DOR’s inability to prevent and detect errors such as the Corporate Tax and Local Income Tax errors. Furthermore, DOR does not have in place the technology systems necessary to support their core business functions resulting in a number of technology work arounds and manual processing that increases risk of errors being made and going undetected. A strong system of internal controls and supporting technologies must be in place for an organization to be able to maintain integrity and help ensure completeness and accuracy of their transactions.
The issues identified did not arise overnight; neither will they be fixed overnight. Many of the issues are complex and will require a significant investment of time and resources to address while others may be able to be addressed quickly. The task of evaluating, prioritizing, and remediating these issues will be great, especially in light of other competing priorities and sustaining day-to-day operations. While many within the State will be focused on wanting to see immediate and sustained results, it’s important that the task be done diligently so as to truly create transformative change that drives value to Indiana taxpayers.
Report Layout
Our report is organized in five main sections. The Background section provides a look into the events that led to OMB hiring Deloitte & Touche to conduct the Risk Assessment and Controls and
Performance Audit. The Executive Summary provides an overview of the challenges faced by DOR, the procedures performed, identified strengths exhibited by DOR, and the identified opportunities to improve. The Scope and Methodology section provides detail as to what processes were reviewed and what testing methods were utilized while the Opportunities for Improvement section discusses each of the significant issues identified. Finally, the Appendix provides a risk map of DOR’s eighteen key business processes and subprocesses updated to reflect the risks for each at the conclusion of the Controls and Performance Audit.


Procedures Performed
Thinking of the known errors as symptoms, a top-down assessment was completed to diagnose root causes of these symptoms. This review began with a risk assessment focused on gaining an understanding of DOR’s key business processes through interviews with key DOR personnel and review of relevant policies, procedures, and business process-related documentation. Once an understanding of key business processes was gained, DOR-specific risks were identified and combined with the inherent risks that are pervasive within revenue agencies and similar governmental organizations. An overall ranking of high, medium, or low risk was then assessed for each subprocess. These risk rankings were then captured on the Controls and Performance Audit Universe by color-coding each subprocess with its overall risk s

Kết quả (Việt) 1:

Điều khiển và kiểm tra hiệu suất Tháng 12 năm 2012 Báo cáo này được thiết kế chỉ cho thông tin và sử dụng OMB, DOR và Ủy ban ngân sách nhà nước và không có ý định, và không nên được, sử dụng bởi người khác, với ngoại lệ của các cơ quan giám sát thực hiện các trách nhiệm giám sát của họ. Nội dung Nội dung Nền 4Tóm tắt 6Tổng quan về 6Bản tóm tắt của các cơ hội để cải thiện 8Phạm vi và phương pháp luận 13Cơ hội để cải thiện 16Được biết đến và được xác định lỗi 18Reconciliations quỹ 18Unreconciled tài khoản 19Tổ chức nhiều cơ hội để cải thiện 20Kiểm soát môi trường 20Hệ thống tích hợp thuế 21Hoạt động kinh doanh chính quá trình cơ hội để cải thiện 22Người đóng thuế đăng ký và giáo dục 22Thực hiện kết thúc xử lý 23Dữ liệu thuế quá trình 25Quá trình biên lai 26Thực hiện các hoạt động thanh toán 28Vấn đề hoàn lại tiền hoặc khoản tín dụng 28Cung cấp hỗ trợ người đóng thuế 31Thực hiện các hoạt động bộ sưu tập (quá khứ-do mục) 31Thực hiện các hoạt động thực thi 33Thực hiện quản lý thuế và phân tích 35Quản lý kế toán doanh thu và phân phối 36Cơ hội quá trình kinh doanh cơ sở hạ tầng quan trọng để cải thiện 40Lập kế hoạch và quản lý tổ chức 40Quản lý tổ chức thiết kế 41Quản lý công nghệ thông tin 44Quản lý kế toán tài chính và báo cáo 51Thực hiện kiểm toán nội bộ 58Pháp lý 59Báo cáo quản lý 61Phụ lục A-Cập Nhật bản đồ quy trình kinh doanh chính 63. Nền Nền Vào tháng 5 năm 2012, OMB bắt tay vào thực hiện một đánh giá độc lập rủi ro và nội bộ điều khiển và kiểm tra hiệu suất của DOR. Sáng kiến này liên quan đến mối quan tâm mà đã phát sinh trong hệ thống thông tin công nghệ (CNTT) của tổ chức và hoạt động tài chính sau khi hai lỗi quan trọng tài chính đã được phát hiện. DOR là các tổ chức nhà nước mà thu thập và chiếm phần lớn doanh thu thuế quỹ chung cho nhà nước Indiana ("nhà nước"). DOR là chịu trách nhiệm cho việc đánh giá và thu thuế và chuyển chúng vào đúng quỹ để họ có thể được sử dụng bởi nhà nước và, khi cần thiết, các chính quyền địa phương theo quy định của đạo luật. Nó cũng là trách nhiệm quản lý tài khoản người đóng thuế và để tạo ra các báo cáo được sử dụng để phân phối một số doanh thu địa phương, chẳng hạn như thuế thu nhập tùy chọn địa phương (LOITs), thực phẩm và đồ uống, tự động cho thuê, thể thao chuyên nghiệp phát triển khu vực, vv, quay lại chính quyền địa phương. DOR chiến lược đã tập trung nỗ lực của mình trên tăng sự hài lòng của khách hàng và phục vụ khách hàng của mình, người đóng thuế Indiana. Những năm gần đây họ sắp xếp hợp lý lĩnh vực hoạt động, kết quả là hiệu quả hơn trở về chế biến và một kinh nghiệm nâng cao người đóng thuế. Kể từ năm 2008, DOR đã giảm đáng kể khung thời gian cho chế biến trở về trong khi cũng cắt giảm chi phí xử lý một trở lại. Với tập trung chủ yếu vào xử lý thuế, hỗ trợ khu vực chẳng hạn như thông tin hệ thống quản lý và tài chính kế toán và báo cáo dường như đã là một ưu tiên thấp cho tổ chức. Mà không có này cùng một mức độ tập trung, môi trường kiểm soát và tầm quan trọng của tài chính và nó điều khiển không như khắt khe trong ngăn chặn hoặc phát hiện lỗi trong hệ thống kế toán tài chính. Trong những năm qua, DOR phát hiện hai lỗi quan trọng liên quan đến thuế doanh nghiệp và LOIT phân phối. Cụ thể, DOR phát hiện ra rằng 320 triệu đô la Mỹ thuế doanh nghiệp e-tập tin thanh toán không được chuyển từ một tài khoản đang nắm giữ, do đó overstating số dư tài khoản của một tài khoản trong khi understating sự cân bằng của người khác. Ngoài ra, DOR xác định rằng 206 triệu đô la Mỹ trong LOITs không được phân phối cho chính quyền địa phương vì lập trình thay đổi liên quan đến quy định mới lập pháp đã không triệt để kiểm tra trong hệ thống và phân bổ các khoản tiền đã không được tính toán một cách chính xác. DOR đã công nhận các lỗi này và dùng các biện pháp chủ động để đòi lại sự tin tưởng của những người đóng thuế và cơ quan lập pháp. Là kết quả của những thách thức của DOR, một ủy viên doanh thu mới và giám đốc tài chính đã được thuê trong ngày tháng năm 2011, ngay sau đó một giám đốc thông tin mới, hai phó bộ điều khiển và một nhà lãnh đạo chiến lược sáng kiến chuyển đổi. Ngoài ra, một số giám sát và quản lý nhân viên cũng đã bật hơn, với cá nhân mới được đặt vào những vị trí. Đội ngũ quản lý mới này là tập trung vào việc đánh giá và sửa chữa các lỗi được xác định trong khi xác định các rủi ro khác đòi hỏi phải khắc phục. OMB khởi xướng một đánh giá rủi ro độc lập và khách quan cùng với một điều khiển và kiểm tra hiệu suất của DOR để phân tích các trường hợp và khắc phục các hành động cần thiết cho các lỗi được xác định cùng với việc xác định các rủi ro bổ sung và mối quan tâm có thể tồn tại trong DOR. OMB của kỳ vọng là cuối cùng điều khiển và hiệu suất kiểm toán báo cáo sẽ cung cấp các khuyến nghị để cải thiện nó và kiểm soát tài chính và khuyến nghị khác coi là Nền thích hợp để bao gồm các thay thế của nó system(s), thay đổi Organizational/cấu trúc, Pháp, vv. Như vậy, Deloitte & Touche hợp đồng thực hiện các dịch vụ được yêu cầu, bắt đầu với một đánh giá rủi ro và tiếp tục vào các điều khiển và kiểm toán hiệu suất. Xác định quá trình đánh giá rủi ro và nguy cơ xếp hạng mười tám quy trình kinh doanh chính của tổ chức hiệu suất kiểm toán vũ trụ. Chín quy trình kinh doanh quan trọng được xác định là có nguy cơ cao, tám được xác định là trung bình rủi ro, và một được xác định là rủi ro thấp. Hơn nữa, một số rủi ro chung chủ đề trở nên rõ ràng và liên quan đến một câu hỏi cơ bản sau đây: • Liệu tổ chức có chiến lược đúng đắn và quản trị cơ chế tại chỗ để đạt được nhiệm vụ của nó? • Liệu tổ chức có đúng quy trình và công nghệ để hỗ trợ chiến lược của nó? • Liệu tổ chức có quyền con người để thực hiện các quy trình và công nghệ phù hợp với sự mong đợi của tổ chức? Các điều khiển và kiểm toán hiệu suất hơn nữa kiểm tra các chủ đề rủi ro cùng với những rủi ro cụ thể được xác định trong đánh giá rủi ro và sau đó báo cáo trình bày kết quả của công việc này. Tóm tắt Tổng quan Deloitte & Touche kiểm soát một thực hiện và kiểm tra hiệu suất của các quá trình kinh doanh chính trong DOR dựa trên đánh giá rủi ro ban đầu kết thúc vào tháng 8 năm 2012. Các thử nghiệm bao gồm mười tám các quy trình kinh doanh chính cũng như được xác định lỗi được phát hiện gần đây. Các điều khiển và kiểm toán hiệu suất được đạo diễn hướng tới việc xác định cho dù các yếu tố cơ bản của con người, quy trình, công nghệ và quản trị trong tổ chức được đầy đủ sử dụng, hiệu quả thiết kế và hoạt động có hiệu quả. Một số các cơ hội đáng kể để cải thiện được xác định đó nêu bật sự cần thiết cho DOR để nâng cao quy trình kinh doanh quan trọng và hỗ trợ công nghệ của họ để phục vụ tốt hơn nhu cầu của tổ chức và cuối cùng của Indiana người đóng thuế. Những vấn đề được xác định là một tích lũy của sự kiện và các quyết định đã được thực hiện trong nhiều thập kỷ đã đóng góp cho một môi trường kiểm soát yếu dẫn đến của DOR không có khả năng ngăn chặn và phát hiện lỗi chẳng hạn như thuế doanh nghiệp và địa phương thuế thu nhập lỗi. Hơn nữa, DOR không có ở vị trí hệ thống công nghệ cần thiết để hỗ trợ các chức năng kinh doanh cốt lõi dẫn đến một số công nghệ làm việc ở quanh và hướng dẫn sử dụng xử lý tăng nguy cơ bị lỗi được thực hiện và sẽ không bị phát hiện. Một hệ thống mạnh mẽ của kiểm soát nội bộ và hỗ trợ công nghệ phải ở nơi dành cho một tổ chức để có thể để duy trì tính toàn vẹn và giúp đảm bảo đầy đủ và chính xác của các giao dịch của họ. Các vấn đề xác định đã không phát sinh qua đêm; cũng sẽ họ được cố định qua đêm. Nhiều người trong số những vấn đề rất phức tạp và sẽ yêu cầu một đầu tư đáng kể thời gian và nguồn lực để giải quyết trong khi những người khác có thể được giải quyết nhanh chóng. Nhiệm vụ đánh giá, ưu tiên, và remediating những vấn đề này sẽ là tuyệt vời, đặc biệt là trong ánh sáng của các ưu tiên cạnh tranh và duy trì hoạt động thường nhật. Trong khi nhiều người trong tiểu bang sẽ được tập trung vào mong muốn nhìn thấy kết quả ngay lập tức và duy trì lâu dài, nó là quan trọng rằng nhiệm vụ được thực hiện siêng năng để thực sự tạo ra biến đổi thay đổi ổ đĩa giá trị cho người nộp thuế Indiana. Báo cáo bố trí Báo cáo của chúng tôi được tổ chức trong năm chính phần. Nền phần cung cấp một cái nhìn vào những sự kiện dẫn đến OMB thuê Deloitte & Touche để tiến hành đánh giá rủi ro và kiểm soát và Kiểm toán hiệu suất. Điều hành tóm tắt cung cấp một tổng quan về những thách thức phải đối mặt bởi DOR, các thủ tục thực hiện, xác định thế mạnh trưng bày bởi DOR, và các cơ hội được xác định để cải thiện. Phạm vi và phương pháp phần cung cấp các chi tiết như quy trình những gì đã được xem xét và những phương pháp thử nghiệm đã được sử dụng trong khi các cơ hội để cải thiện phần thảo luận về mỗi người trong số các vấn đề quan trọng được xác định. Cuối cùng, phụ lục cung cấp bản đồ rủi ro của quy trình kinh doanh chính mười tám của DOR và subprocesses Cập Nhật để phản ánh những rủi ro cho mỗi khi kết thúc của các điều khiển và kiểm toán hiệu suất. Thủ tục thực hiện Suy nghĩ của các lỗi được biết đến như là triệu chứng, một đánh giá trên xuống đã được hoàn thành để chẩn đoán nguyên nhân gốc rễ của những triệu chứng này. Nhận xét này bắt đầu với một đánh giá rủi ro tập trung vào đạt được sự hiểu biết về quy trình kinh doanh chính của DOR thông qua các cuộc phỏng vấn với DOR nhân và xem xét các chính sách có liên quan, thủ tục, và tài liệu liên quan đến quá trình kinh doanh. Một khi sự hiểu biết về quy trình kinh doanh chính đã đạt được, DOR cụ thể rủi ro được xác định và kết hợp với những rủi ro vốn có được phổ biến trong doanh thu cơ quan và tổ chức chính phủ tương tự. Một thứ hạng tổng thể của rủi ro cao, Trung bình hoặc thấp sau đó đánh giá cho mỗi subprocess. Các bảng xếp hạng nguy cơ sau đó đã bị bắt vào các điều khiển và hiệu suất kiểm toán vũ trụ bởi color-coding mỗi subprocess với s rủi ro tổng thể của nó