Tarkastuslautakunnan arviointikertomus ja arviointisuunnitelma 2024

Tarkastuslautakunta päättää esittää kaupunginvaltuustolle seuraavaa:

Kaupunginvaltuusto päättää

Kuntalain (410/2015) 121 §:n mukaan tarkastuslautakunnan tehtävänä on valmistella valtuuston päätettävät hallinnon ja talouden tarkastusta koskevat asiat sekä arvioida, ovatko valtuuston asettamat toiminnan ja talouden tavoitteet kunnassa ja kuntakonsernissa toteutuneet ja onko toiminta järjestetty tuloksellisella ja tarkoituksenmukaisella tavalla. Lautakunnan tulee antaa valtuustolle kultakin vuodelta arviointikertomus, jossa esitetään arvioinnin tulokset. Arviointikertomus tulee käsitellä valtuustossa tilinpäätöksen yhteydessä.

Helsingin kaupungin vuoden 2024 tilinpäätös on valtuuston käsittelyssä 18.6.2025. Samassa kokouksessa käsiteltävänä ovat kaupungin tilintarkastajan laatima tilintarkastuskertomus vuodelta 2024 ja tarkastuslautakunnan arviointikertomus sekä arviointikertomuksesta hankitut kaupunginhallituksen ja lautakuntien lausunnot. Lisäksi valtuusto päättää kokouksessa tarkastuslautakunnan ehdotuksen perusteella vastuuvapauden myöntämisestä tilivelvollisille tilikaudelta 2024.

Arviointikertomus

Tarkastuslautakunnan kaksi toimikuntaa ovat valmistelleet yhteistyössä tarkastusviraston kanssa vuoden 2024 arviointisuunnitelmaan sisältyneistä arviointiaiheista arviointikertomuksen, jonka lautakunta hyväksyi 15.4.2025. Arviointikertomus on esityksen liitteenä.

Tarkastuslautakunta on Helsingin kaupungin hallintosäännön 21 luvun 2 §:n mukaisesti pyytänyt arviointikertomuksesta 27.5.2025 mennessä lausunnot kaupunginhallitukselta ja asianomaisilta lautakunnilta. Lausunnot ovat esityksen liitteenä.

Lisäksi tarkastuslautakunta esittää, että kaupunginvaltuusto kehottaa kaupunginhallitusta antamaan valtuustolle joulukuun loppuun mennessä selvityksen siitä, mihin toimenpiteisiin toiminnasta vastaavat henkilöt ja tilivelvolliset ovat ryhtyneet arviointikertomuksen johdosta. Menettely vastaa kuntalain 121 §:n säädöstä, jonka mukaan kaupunginhallituksen tulee antaa valtuustolle lausunto toimenpiteistä, joihin arviointikertomus on antanut aihetta.

Tilintarkastuskertomus

Kuntalain mukaan tilintarkastajan on tarkastettava, onko kunnan hallintoa hoidettu lain ja valtuuston päätösten mukaisesti, antavatko tilinpäätös ja siihen kuuluva konsernitilinpäätös tilinpäätöksen laatimista koskevien säännösten ja määräysten mukaisesti oikean ja riittävän kuvan kunnan tuloksesta, taloudellisesta asemasta, rahoituksesta ja toiminnasta sekä ovatko valtionosuuksien perusteista annetut tiedot oikeita. Lisäksi tilintarkastajan on tarkastettava, onko kunnan sisäinen valvonta ja riskienhallinta sekä konsernivalvonta järjestetty asianmukaisesti.

Jos tilintarkastaja havaitsee, että kunnan hallintoa ja taloutta on hoidettu vastoin lakia tai valtuuston päätöksiä eikä virhe tai aiheutunut vahinko ole vähäinen, tilintarkastuskertomuksessa on tehtävä asiasta tilivelvolliseen kohdistuva muistutus. Tilintarkastajan on yksilöitävä asianomainen tilivelvollinen. Tarkastuslautakunnan on hankittava tilivelvolliseen kohdistuvasta muistutuksesta asianomaisen selitys ja lausunto kaupunginhallitukselta.

Kuntalain mukaan tilintarkastajan on tilintarkastuskertomuksessa otettava kantaa siihen, voidaanko tilivelvolliselle myöntää vastuuvapaus. Valtuusto päättää toimenpiteistä, joihin tarkastuslautakunnan valmistelu, tilintarkastuskertomus ja siinä tehty muistutus antavat aihetta. Hyväksyessään tilinpäätöksen valtuusto päättää vastuuvapaudesta tilivelvollisille.

Helsingin kaupungin tilintarkastaja, KPMG Oy Ab, on antanut tarkastuslautakunnalle kaupunginvaltuustolle osoitetun, vastuunalaisen tilintarkastajan, JHT, KHT Jorma Nurkkalan 29.4.2025 allekirjoittaman tilintarkastuskertomuksen tilikaudelta 2024. Tilintarkastuskertomuksessa tilintarkastaja on tarkastuksen tuloksena todennut seuraavasti: "Kuntalain 125 §:n mukaisena muistutuksena esitämme, että hallinnon lainmukaiseen hoitamiseen sekä sisäisen valvonnan ja riskienhallinnan riittävään järjestämiseen sisältyy merkittävä epävarmuus, jota Keskusrikospoliisin esitutkinnassa osaltaan selvitetään. Kaupungin hallintoa on hoidettu muilta osin lain ja valtuuston päätösten mukaisesti. Kaupungin sisäinen valvonta ja riskienhallinta on järjestetty muilta osin asianmukaisesti.”

Vastuuvapauden myöntämisestä tilintarkastaja on todennut, että ”Hallinnon lainmukaisuuteen sekä sisäiseen valvontaan ja riskienhallintaan liittyvän muistutuksen vuoksi emme puolla vastuuvapauden myöntämistä strategiajohtajalle, digitalisaatiojohtajalle, kasvatuksen ja koulutuksen toimialajohtajalle, kasvatuksen ja koulutuksen yhteisten palvelujen johtajalle sekä kasvatuksen ja koulutuksen tietohallintojohtajalle, koska Keskusrikospoliisin esitutkinta mahdollisesta tietosuojarikoksesta kaupungin toiminnassa on kesken. Tilivelvollisten joukko, joille emme puolla vastuuvapautta, on laaja sen vuoksi, että asiaan liittyvä vastuunjako ei ole selvä. Esitämme vastuuvapauden myöntämistä muille tilivelvollisille tarkastamaltamme tilikaudelta.”

Tilintarkastuskertomus on esityksen liitteenä.

Tilintarkastaja on selostanut kertomusta tarkastuslautakunnalle kokouksessa 13.5.2025 ja esittää kertomuksessaan tilinpäätöksen hyväksymistä. Tilintarkastaja on antanut kertomuksensa lisäksi 25.4.2025 päivätyn yhteenvetoraportin vuoden 2024 tilintarkastuksesta, joka on lähetetty tarkastusvirastosta tilintarkastajan pyynnöstä muun muassa kaupungin johdolle, toimialojen johdolle sekä hallinto- ja talouspäälliköille. Tilintarkastaja on selostanut yhteenvetoraporttiaan tarkastuslautakunnalle kokouksessa 13.5.2025. Yhteenvetoraportti on esityksen liitteenä.

Vastuuvapauden myöntäminen

Kuntalain mukaan tarkastuslautakunnan tehtävänä on huolehtia tilintarkastuskertomuksen valtuustokäsittelyyn liittyvästä valmistelusta. Lautakunnan tulee tehdä valtuustolle oma päätösehdotuksensa niistä toimenpiteistä, joihin tilintarkastuskertomus, siinä tehty muistutus ja siitä saadut selitykset sekä lausunto antavat aihetta.

Tarkastuslautakunta päätti 13.5.2025 pyytää tilintarkastuskertomuksessa tehdystä muistutuksesta asianomaisten viranhaltijoiden selitykset 23.5.2025 sekä kaupunginhallituksen lausunnon 27.5.2025 mennessä.

Viranhaltijat ovat antaneet muistutukseen liittyvät selityksensä, joissa he ovat tuoneet esille omat näkemyksensä asiasta. Selitykset ovat esityksen liitteinä.

Kaupunginhallitus toteaa 26.5.2025 antamassaan lausunnossa, että "kaupungin on varmistettava, että sen toimijoiden johtaminen ja vastuut tietoturvan ja tiedonhallinnan osalta ovat selkeästi määritelty ja että kaupungin tietosuoja on asianmukaisella tasolla. Kaupungin etua on valvottava siten, että tietomurron tapahtumat tutkitaan ja digitaalisesta kehitysvelasta johtuvat puutteet korjataan."

Kuntalain 125 §:n mukaan vastuuvapauden myöntäminen kohdistuu tilivelvollisiin. Lain mukaan tilivelvollisia ovat kunnan toimielimen jäsenet ja asianomaisen toimielimen tehtäväalueen johtavat viranhaltijat. Tilivelvollisina viranhaltijoina voidaan pitää toimielimen esittelijöitä ja toimielimen tehtäväalueella itsenäisestä tehtäväkokonaisuudesta vastaavia viranhaltijoita. Kaupunginvaltuusto hyväksyi luettelon Helsingin kaupungin tilivelvollisista kokouksessa 22.9.2021. Päivitetty luettelo julkaistaan vuosittain valtuuston hyväksymässä talousarviossa ja tilinpäätöksessä. Määritelmää tilivelvollisista sovelletaan ottaen huomioon, että kaupungin vastuunalainen tilintarkastaja voi tilintarkastuskertomuksessaan kohdistaa muistutuksen muullekin kuin edellä olevan määritelmän piiriin kuuluvalle viranhaltijalle ja esittää vastuuvapauden epäämistä.

Tilintarkastaja toteaa kaupunginvaltuustolle osoitetussa tilintarkastuskertomuksessa seuraavasti: ”Helsingin kaupungin hallintosäännön mukaan kaupunginhallitus vastaa siitä, että kaupunki täyttää tietosuojalainsäädännön mukaiset velvoitteet ja valvoo velvoitteiden toteutumista. Hallintosäännön mukaan kaupunginkanslian strategiaosasto huolehtii digitalisaation ja tietohallinnon ohjauksesta. Kaupunginkanslian toimintasäännön mukaan strategiaosaston digitalisaatioyksikkö vastaa digitalisaation ja tietohallinnon kaupunkitasoisesta ohjauksesta, kaupunkiyhteisistä sovelluspalveluista, digitaalisista palveluista, niihin liittyvistä teknisistä alustoista ja ratkaisuista, digitaalisesta palvelumuotoilusta sekä kaupunkiyhteisistä data- ja analytiikkaratkaisuista. Kaupunginhallitus on tekemällään päätöksellä delegoinut henkilörekistereitä koskevia tehtäviä viranhaltijoille. Käyttäjätunnusten hallinnan rekisteriselosteen mukaan kaupunginhallitus on delegoinut rekisterinpitäjän tehtävät kaupunginkanslian strategiajohtajalle ja rekisterin vastuuhenkilö on rekisteriselosteen mukaan kaupunginkanslian digitalisaatiojohtaja, jonka esihenkilö on strategiajohtaja. Helsingin kaupungin kasvatuksen ja koulutuksen toimialan toimintasäännön mukaan tietohallintopalveluista vastaa tietohallintopäällikkö (nykyisin tietohallintojohtaja). Kaskon toimintasäännön mukaan Kaskon tietohallintopalvelut huolehtivat tietoturvan edistämisestä ja koordinoinnista toimialalla. Kaskon tietohallintojohtajan esihenkilö on Kaskon yhteisten palvelujen johtaja, jonka esihenkilö on Kaskon toimialajohtaja.”

Sisäinen valvonta ja riskienhallinta Helsingin kaupunkikonsernissa
-ohjeen mukaan ylimmällä johdolla on keskeinen rooli sisäisen valvonnan ja riskienhallinnan suunnittelussa ja järjestämisessä. Esihenkilö vastaa johtamansa yksikön sisäisestä valvonnasta ja riskienhallinnasta. Esihenkilöllä on vastuu myös yksikkönsä toiminnan ja prosessien järjestämisestä ja hänen tehtäviinsä kuuluu päivittäisen toiminnan valvonta, lisäksi hänellä on aktiivinen selonottovelvollisuus.

Tarkastuslautakunta on kuullut kokouksissaan tietomurrosta pormestaria, kansliapäällikköä, digitalisaatiojohtajaa, tietosuojavastaavaa, kasvatuksen ja koulutuksen toimialan toimialajohtajaa ja tietohallintojohtajaa sekä DigiHelsinki Oy:n toimitusjohtajaa ja tuotantojohtajaa. Lautakunta on arviointikertomuksessaan esittänyt aiheeseen liittyviä havaintojaan ja antanut niihin liittyviä suosituksia.

Ottaen huomioon, mitä tilintarkastaja toteaa tilintarkastuskertomuksessaan sisäisen valvonnan ja riskienhallinnan tilasta ja miten laajamittaisesta kasvatuksen ja koulutuksen toimialaan kohdistuneesta tietomurrosta on kyse, tarkastuslautakunta pitää perusteltuna, että tilikauden 2024 osalta vastuuvapautta ei myönnetä strategiajohtajalle, digitalisaatiojohtajalle, kasvatuksen ja koulutuksen toimialajohtajalle, kasvatuksen ja koulutuksen yhteisten palvelujen johtajalle sekä kasvatuksen ja koulutuksen tietohallintojohtajalle.