Internrevisjonsrapport

Transkript

1 Internrevisjonen Internrevisjonsrapport St. Olavs Hospital HF Risikostyring og internkontroll Revisjonen er gjennomført i perioden juni -september 2015 Stjørdal, 25. september 2015

2 1. Innledning INNHOLD 1. Innledning Bakgrunn 1.2 Om risikostyring og internkontroll 1.3 Revisjonskriterier 1.4 Omfang og metode 2. Sammendrag Funn og vurdering pr tema Kunnskap om risikostyring og internkontroll 3.2 Organisatoriske forhold 3.3 Identifisere og håndtere risiko 3.4 Oppfølging og forbedring 4. Anbefalinger.. 13 Vedlegg: Resultat spørreundersøkelse Rapportinformasjon 1.1 Bakgrunn Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF (HMN) bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i helseforetakene og det regionale helseforetaket. I tråd med vedtatt aktivitetsplan gjennomfører internrevisjonen en revisjon med temaet «Risikostyring og internkontroll i foretaksgruppen». Krav om risikostyring og internkontroll er nedfelt i flere lover, bl.a. arbeidsmiljøloven, helsetilsynsloven, spesialisthelsetjenesteloven og helseregisterloven. Mer detaljerte regler på området er nedfelt i tilhørende forskrifter. I denne revisjonen er det tatt utgangspunkt i forskrift om internkontroll i helseog omsorgstjenesten. Helse- og omsorgsdepartementet (HOD) har fra 2008 og fram til 2014 i sine foretaksmøter med HMN stilt krav om at «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik». Det regionale foretaket har videreført dette kravet i sine foretaksmøter med helseforetakene. Hensynet bak kravet om risikostyring og internkontroll er at foretaksledelsen skal ha et godt verktøy for å sikre størst mulig grad av styring og kontroll med virksomheten. God risikostyring og internkontroll bidrar til måloppnåelse både når det gjelder god pasientbehandling, effektiv drift, riktig rapportering og overholdelse av regelverket. Rapporten er oversendt til: Adm.direktør Nils Kvernmo Styret i St.Olavs Hospital v/styrets leder Styrets revisjonsutvalg HMN 2

3 1.2 Om risikostyring og internkontroll Risikostyring og internkontroll handler i sin enkleste form om å sikre god styring og kontroll, herunder bedre ressursutnyttelse ved at ledelsen bruker tid og ressurser på de viktigste forholdene. Helseforetakene er gjennom lov og forskrift pålagt å etablere systemer for risikostyring og internkontroll Illustrasjon - Sentrale forhold som må være på plass for å sikre god risikostyring og internkontroll Styret har det overordnede ansvaret for å påse at foretaket har betryggende styring og kontroll, herunder at det er etablert forsvarlig risikostyring og internkontroll. Administrerende direktør har det operative ansvaret for å iverksette og operasjonalisere retningslinjer gitt fra styret, samt holde styret løpende orientert om status og utvikling Internkontroll er systematiske tiltak som skal sikre at lover og retningslinjer overholdes, samt gi rimelig sikkerhet for at fastsatte mål oppnås Effektiv internkontroll legger til rette for at oppgaver gjøres riktig første gang. Internkontroll kan på den måten bidra til å forebygge feil og negative hendelser. Samtidig vil internkontroll også bidra til kvalitet, effektivitet og forutsigbarhet. Virksomheter som arbeider systematisk med forbedring i internkontrollen, opplever at internkontrollarbeidet gir viktige bidrag til virksomhetens arbeid med kontinuerlig forbedring Selv med effektiv internkontroll kan det oppstå uheldige situasjoner og feil som følge av menneskelig eller teknisk svikt, misforståelser eller som følge av at ansatte bevisst omgår etablerte kontroller. Det å ha et formalisert og velfungerende internkontrollsystem reduserer imidlertid sannsynligheten både for at ubevisste og bevisste feil inntreffer Helhetlig risikostyring er et verktøy for styring som gir grunnlag for å identifisere, vurdere og håndtere potensiell risiko ved hjelp av en strukturert tilnærming. Risikostyring skal bidra til å skape en bedre balanse mellom mål, risiko, styring og kontrolltiltak, og dermed en bedre ressursutnyttelse Risikostyring kan med andre ord ses på som et hjelpemiddel i arbeidet med å løse de styringsmessige utfordringer ledelsen står ovenfor. Den skal bidra til mer målrettet styring, og derfor også enklere styring, ved at ledelsen bruker tid på de viktigste forholdene Som illustrert i figuren til venstre er det en del sentrale forhold som alle må være på plass for å sikre god risikostyring og internkontroll. Dette knytter seg til felles forståelse av målbilde, identifisert risikobilde, forankring, en integrert og strukturert prosess, samt løpende oppfølging og håndtering av risiko 3

4 1.3 Revisjonskriterier Ved gjennomføring av revisjonen er det primært tatt utgangspunkt i forskrift om internkontroll i helse- og omsorgstjenesten, foretaksprotokoller og god praksis Lovgrunnlag Det er en rekke lover og forskrifter som regulerer området risikostyring og internkontroll. I denne revisjonen har vi funnet det hensiktsmessig å gjøre en avgrensing slik at revisjonskriteriene knyttes opp mot kravene i Forskrift om internkontroll i helse- og omsorgstjenesten (IK-helse). Denne forskriften er hjemlet i Helsetilsynsloven og Spesialisthelsetjenesteloven. Forskriften 4 skisserer innholdet i internkontrollen. Her er det beskrevet åtte punkter som virksomhetsledelsen har ansvar for å sikre («de 8 ledelsesprinsippene»). Styringsdokumenter I foretaksprotokollen 2008 fra Helse- og omsorgsdepartementet (HOD) til HMN er det nedfelt at: «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik. Risikofaktorer som kan medvirke til at målene til det regionale helseforetaket og helseforetaksgruppen ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse skal iverksettes. Styringssystemene skal tilpasses risiko og vesentlighet i forhold til virksomhetens målsetninger og ha nødvendig ledelsesmessig forankring i hele organisasjonen». Tilsvarende krav er gjentatt i alle foretaksprotokoller fram til og med Det regionale helseforetaket har på sin side videreført kravet til sine underliggende helseforetak. I styringsdokumentet for 2015 har HMN konkretisert en målsetting om at foretaksgruppen i perioden skal videreutvikle et felles og helhetlig system for risikostyring og internkontroll i regionen. St.Olavs Hospital HF (St.Olavs) har utviklet en del interne styringsdokumenter på området. Disse finnes i form av bl.a. fullmakter, prosedyrer og retningslinjer. 4

5 1.4 Omfang og metode Områder som omfattes av revisjonen er illustrert i figuren nedenfor. Funn og vurderinger er basert på spørreundersøkelse, intervjuer med utvalgte ledere og dokumentgjennomgang. Vurderingen dekker overordnede forhold (rammeverk), og er gjennomført på ledelsesnivå Revisjonen omfatter ledelsesnivå i foretaket. Revisjonen gjennomføres i de tre sykehusforetakene i regionen. Som illustrert i figuren til venstre dekker revisjonen følgende 4 hovedtema: Kunnskap om risikostyring og internkontroll på ledelsesnivå, Organisatoriske forhold, Identifisering og håndtering av risiko, samt Oppfølging og forbedringsarbeid Innenfor hvert av hovedtemaene er det definert områder som har dannet grunnlag for spørreundersøkelse, intervju og innhenting av relevant dokumentasjon. Funnene i rapporten er basert på: Spørreundersøkelse som er sendt ut til ledere på ulike ledelsesnivå i alle klinikker, samt utvalgte personer i Stab. Det er mottatt 292 svar, noe som utgjør en svarprosent på ca.. 71 % Intervjuer og samtaler med totalt 14 personer i ledelsen, herunder administrerende direktør, kvalitetssjef, 8 klinikksjefer og 4 avdelingsledere Gjennomgang av relevante dokumenter innenfor de ulike områdene Revisjonen har fokusert på overordnede forhold (rammeverk) knyttet til risikostyring og internkontroll, og det er ikke foretatt detaljert gjennomgang og vurdering av «godhet» og etterlevelse av enkeltelementene Sentrale funn er presentert og forankret i oppsummeringsmøte med foretaksledelsen. Utkast til rapport er sendt til helseforetaket for faktaverifikasjon før endelig ferdigstillelse 5

6 Sammendrag 6

7 2. Sammendrag Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i St. Olavs Hospital. Karleggingen viser imidlertid at foretaket har satt risikostyring på agendaen, og at flere gode enkeltelementer er etablert og initiert. Ledernes kunnskap og forståelse om risikostyring kan forbedres Overordnet rammeverk Foretaket har ikke utarbeidet og styrebehandlet et overordnet styringsdokument, eller etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming Kunnskap Ledere i helseforetaket har noe varierende kjennskap til, og kompetanse om risikostyring og internkontroll. Internkontroll er et begrep som er kjent blant de fleste, mens risikostyring oppleves som et mer uklart begrep. Opplæring i risikostyring og internkontroll er i liten grad satt i system, og i spørreundersøkelsen vurderer ca. 1/3 av lederne sin kunnskap om temaet som mangelfull Organisatoriske forhold Foretaket har nylig vært gjennom en strategiprosess. Det gjenstår fortsatt noe arbeid med konkretisering og operasjonalisering av strategien, men lederne oppfattet foretakets overordnede mål og strategier som tydelig Organisering, roller og ansvar er formalisert og vurderes i stor grad som hensiktsmessig og tydelig. Kompetanseplaner er utarbeidet i tråd med foretakets retningslinjer Etikk De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. Flere klinikker har etablert refleksjonsmøter, og opplever dette som nyttig Identifisere og håndtere risiko I foretakets kvalitetssystem er det nedfelt at risikovurdering skal gjennomføres i forkant av alle beslutninger av strategisk, organisatorisk eller driftsrelatert art, og at risikovurderingen og handlingsplan skal være vedlegg til ethvert beslutningsgrunnlag. Dette etterleves ikke i tilstrekkelig grad i dag Det er behov for å øke forståelsen for og hensikten med risikostyring. Dette inkluderer identifikasjon og vurdering av risiko på ulike nivå i foretaket. Det utarbeides i dag ingen risikovurderinger med utgangspunkt i overordnede mål og strategier som tydeliggjør foretakets overordnede risikobilde. ROS-analyser benyttes i noen grad ved omstilling, men nytten oppleves som variabel Rutiner og retningslinjer, samt oversikt over relevante lover og regler er tilgjengelig for ansatte via kvalitetssystemet EQS Oppfølging og forbedring Forbedringsarbeid knyttet til pasientsikkerhet er høyt på agendaen hos lederne på alle nivå i foretaket. Dette har sammenheng med foretakets forbedringsprogram og fokus på standardiserte pasientforløp. Det er videre etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers i foretaket, eksempelvis Kvalitets- og pasientsikkerhetsutvalg (KPU), HMS-/ kvalitetsgrupper, kvalitetsrådgivernettverk, og pasientsikkerhetsvisitter Kultur for registrering av uønskede hendelser er forbedret og rapportering av hendelser er økende. Det utarbeides tertialvis rapport/statistikk over registrerte hendelser, og det er etablert system for hendelsesanalyser I tråd med kravene i internkontrollforskriften foretas det periodisk oppfølging og evaluering av etablert internkontroll. Ledelsens gjennomgang gjennomføres på ulike nivå i foretaket og aggregeres i en samlet rapport som presenteres for hovedledelsen og styret 7

8 3. Sentrale funn og vurdering - pr tema 8

9 3.1 Kunnskap om risikostyring og internkontroll Ledere i helseforetaket har noe varierende kjennskap til, og kompetanse om, risikostyring og internkontroll. Internkontroll er et begrep som er kjent blant de fleste, mens risikostyring oppleves som et mer uklart begrep. Opplæring i risikostyring og internkontroll er i liten grad satt i system, og i spørreundersøkelsen vurderer ca. 1/3 av lederne sin kunnskap om temaet som mangelfull 20 % 40 % 60 % 80 % 100 % Figuren ovenfor viser utvalgte resultater fra spørreundersøkelse sendt til lederne i St. Olavs som en del av prosjektet. Ytterligere informasjon fra spørreundersøkelsen er lagt i vedlegg. Kommentarene til høyre bygger både på resultatene fra spørreundersøkelsen og tilbakemeldinger mottatt i samtaler med et utvalg ledere Kunnskap - I spørreundersøkelsen svarer en vesentlig andel at internkontroll er et kjent begrep og noe man har et bevisst forhold til i det daglige arbeidet. Risikostyring oppleves som et mer uklart begrep, noe som også underbygges i intervjuer. Flere ledere viser god forståelse for enkeltelementer knyttet til risikostyring. Manglende opplæring, systematikk og helhetsforståelse medfører imidlertid at flere opplever risikostyring som noe uklart Opplæring I internkontrollforskriftens 4 bokstav c) er det krav om at ansatte i tillegg til å ha tilstrekkelig kunnskap og ferdigheter innenfor aktuelle fagområder, skal ha kunnskap om virksomhetens internkontroll. Opplæring i internkontroll og risikostyring er i liten grad satt i system i foretaket. Ca. 50 % av respondentene i spørreundersøkelsen opplever at de ikke har fått tilstrekkelig veiledning og opplæring, og 1/3 av lederne opplever at de ikke har tilstrekkelig kunnskap om risikostyring og internkontroll Risikoforståelse - De fleste lederne mener at de har god forståelse for sentrale risikoer innenfor sine ansvarsområder og at dette danner grunnlag for prioriteringer. Risikoidentifikasjon og vurderinger er i liten grad formalisert og dokumentert 9

10 3.2 Organisatoriske forhold Foretaket har nylig vært gjennom en strategiprosess. Det gjenstår fortsatt noe arbeid med konkretisering og operasjonalisering av strategien, men lederne oppfattet foretakets overordnede mål og strategier som tydelig. Organisering, roller og ansvar er formalisert og vurderes i stor grad som hensiktsmessig. Kompetanseplaner er utarbeidet i tråd med foretakets retningslinjer Strategi HMN 2020 Strategi St.Olavs Styringskrav og rammer 2015 Retningslinjer for risikostyring og internkontroll - Styret har ikke vedtatt overordnede retningslinjer som definerer roller, ansvar og overordnede føringer knyttet til risikostyring og internkontroll i foretaket. Det er imidlertid utarbeidet en overordnet beskrivelse av kvalitetssystemet (ID 23974). Dokumentet inneholder flere gode og relevante tema, men fremstår noe uryddig. Noen punkter beskriver en ønsket situasjon, noen en faktisk situasjon, og noe er generell informasjon Mål og strategier Foretaket har nylig vært gjennom en strategiprosess, og lederne oppfatter at foretakets overordnede mål og strategier er tydelig. Det er etablert et forbedringsprogram hvor standardiserte pasientforløp er stammen i programmet, og som er tett linket opp mot overordnet strategi. Per i dag fremstår det noe utydelig hvordan den overordnede strategien er konkretisert og operasjonalisert. Foretaket har opplyst at det i løpet av høsten er planlagt å utarbeide en handlingsplan som vil bidra til å tydeliggjøre dette Styringskrav og rammer Overordnede styringskrav fra HOD/RHF, herunder kvantitative måltall som ventetid, fristbrudd og økonomi er godt kjent blant lederne. Styringskravene koordineres og følges løpende opp av stabsavdelingen. Status rapporteres tertialvis til ledelsen og styret. Organisering - det foreligger ajourførte organisasjonskart som viser hvordan foretaket er organisert, og hvordan ansvar og myndighet er fordelt Roller og ansvar vurderes i stor grad som hensiktsmessig og tydelig og er formalisert gjennom funksjonsbeskrivelser, stillingsbeskrivelser og fullmaktsbeskrivelser. Det er inngått lederavtale mellom adm.dir og klinikksjefene Kompetanse Foretaket har system for kompetansekartlegging og utarbeidelse av kompetanseplaner. Inntrykket er at kompetanseutvikling er et prioritert område, og at de fleste klinikkene har utarbeidet konkrete planer. Lederne mangler et godt verktøy for å ha løpende registrering og oversikt over status knyttet til kompetanseutvikling Etikk - De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. Flere klinikker har etablert refleksjonsmøter og oppfatter dette som nyttig 10

11 3.3 Identifisere og håndtere risiko Det er behov for å øke forståelsen for og hensikten med risikostyring. Dette inkluderer identifikasjon og vurdering av risiko på ulike nivå i foretaket. Krav om risikovurdering i foretakets beskrivelse av kvalitetssystemet etterleves i liten grad 20 % 40 % 60 % 80 % 100 % Figuren ovenfor viser utvalgte resultater fra spørreundersøkelse sendt til lederne i St. Olavs som en del av prosjektet. Ytterligere informasjon fra spørreundersøkelsen er lagt i vedlegg. Kommentarene til høyre bygger både på resultatene fra spørreundersøkelsen og tilbakemeldinger mottatt i samtaler med et utvalg ledere Identifikasjon og vurdering av risiko I foretakets beskrivelse av kvalitetssystemet er det stilt krav om at risikovurdering skal gjennomføres i forkant av alle beslutninger av strategisk, organisatorisk eller driftsrelatert karakter. Risikovurderingen og handlingsplan for oppfølging av risiko skal være vedlegg til ethvert beslutningsgrunnlag Det foretas periodisk vurdering av styringskrav mottatt fra RHFet. (styringsdokument og foretaksprotokoll). Det foretas ikke en systematisk identifikasjon og vurdering av hva som kan hindre at styringskravene nås (risikodrivere) Styret blir ikke periodisk forelagt en overordnet risikovurdering for St. Olavs, dvs en risikovurdering som viser hva som er de (for eksempel 10-15) mest sentrale risikoene/utfordringene for foretaket som helhet Det er etablert maler og rammeverk for gjennomføring av ROS-analyser (risiko- og sårbarhetsvurderinger). ROS-analyser brukes som et hjelpemiddel ved omstilling for å få belyst risikobildet. Enkelte opplever ikke ROS-analyser som et nyttig verktøy. Det er ikke etablert et system for oppfølging av gjennomførte analyser. Det er lite fokus på deling av informasjon/læring på tvers fra gjennomførte ROS-analyser Rutiner og retningslinjer - Rutiner og retningslinjer er tilgjengelig for ansatte via EQS. Flere ledere er kritiske til brukervennligheten i EQS. Dette knytter seg til tilgjengelighet, ajourhold og omfang av prosedyrer. Det er igangsatt et forbedringsarbeid rundt dette på foretaksnivå Over 50 % av lederne opplever det som noe utfordrende å navigere og finne relevant informasjon i virksomhetsportalen Lover og regler Tilgang til relevante lover og regler er tilrettelagt i EQS. Flere ledere kommenterer imidlertid at det er enklere å finne frem ved å gå direkte til Lovdata 11

12 3.4 Oppfølging og forbedring Forbedringsarbeid knyttet til pasientsikkerhet er høyt på agendaen hos lederne på alle nivå i foretaket. Det er etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers i foretaket, eksempelvis KPU, HMS-/kvalitetsgruppe, kvalitetsrådgivernettverk og pasientsikkerhetsvisitter. Meldekulturen i foretaket er forbedret, og rapportering av uønskede hendelser er økende. Uønskede hendelser Rutiner og retningslinjer for uønskede hendelser er etablert. Systemet for registrering av hendelser er lett tilgjengelig for alle ansatte i EQS. Det utarbeides tertialvis rapport/statistikk over registrerte hendelser, og det er etablert system for hendelsesanalyser ved alvorlige uønskede hendelser i forbindelse med pasientbehandlingen Meldekulturen i foretaket er forbedret, og rapportering av uønskede hendelser er økende. Flere kommenterer imidlertid at det fortsatt er underrapportering av hendelser og behov for å styrke meldekulturen HMS-/kvalitetsgrupper Det er etablert HMS-/kvalitetsgrupper på ulike nivå i foretaket som har som hensikt å sikre god systematikk, koordinering og oppfølging av HMS- og kvalitetsarbeidet. Dette oppleves som positivt og bidrar til forbedring. HMS-/kvalitetsgruppene behandler enkelthendelser i egen klinikk/avdeling, og vurdere behov for iverksetting av tiltak Kvalitets- og pasientsikkerhetsutvalg (KPU) I tråd med lovkrav er det etablert et kvalitets- og pasientsikkerhetsutvalg. KPU har i henhold til mandat et overordnet ansvar for å koordinere og initiere kvalitetsforbedrende tiltak og prosjekter på tvers i foretaket. Det gjennomføres månedlige møter der utvalget blant annet har fokus på statistikk og trender av uønskede hendelser og klagesaker, samt resultater fra revisjon og tilsyn Pasientsikkerhetsvisitter Adm.direktør gjennomfører jevnlig pasientsikkerhetsvisitter i de ulike klinikkene for å lære mer om pasientsikkerhetsutfordringer. Visittene fremstår som en risikobasert tilnærming til foretakets overordnede mål om fremragende behandling. Dette har ført til flere identifiserte forbedringsområder og lederne opplever at visittene har en positiv effekt på forbedringsarbeidet i foretaket Revisjon og egenkontroll - Det gjennomføres årlig enkelte revisjoner i regi av sentral stab. Revisjoner blir prioritert basert på ledelsens gjennomgang. Omfanget er redusert de siste årene. Kun et fåtall klinikker gjennomfører egenkontroller og revisjoner, som eksempelvis kontroll med journalføring. Det er ikke utarbeidet noen overordnet prosedyrer for egenkontroll i foretaket Styringsinformasjon - Lederne oppfatter at de har god styringsinformasjon knyttet til økonomi og sentrale styringskrav. Enkelte etterlyser mer sanntidsinformasjon Ledelsens gjennomgang Det er i tråd med krav i internkontrollforskriften definert retningslinjer for periodisk oppfølging og evaluering av etablert internkontroll (gjennomføring av ledelsens gjennomgang). Ledelsens gjennomgang gjennomføres på ulike nivå i foretaket. Informasjonen aggregeres i en samlet rapport som presenteres for hovedledelsen og styret Det er etablert et kvalitetsrådgivernettverk som har som oppgave å sikre informasjonsflyten mellom KPU og klinikkene. Det er også informert om at vesentlige saker fra KPU behandles i hovedledelsen Pasienterfaringer Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet. Det er etablert brukerutvalg for å representere pasienter og pårørende i styret i foretaket Forbedringsarbeid - Det er nylig etablert en strategisk satsning for å bygge kapasitet og kompetanse i forbedringsarbeidet i foretaket. Det er blant annet planlagt at alle ledere på nivå 3 og 4 skal ha en grunnleggende kompetanse i forbedringsmetodikk Oppfølging av forbedringstiltak Foretaket har ikke et helhetlig system for løpende registrering, oppfølging og rapportering av status på forbedringstiltak som er identifisert gjennom eksempelvis revisjoner, tilsyn, NPE-saker, ledelsens gjennomgang og pasientsikkerhetsvisitter 12

13 Anbefalinger 13

14 4. Anbefalinger (1:3) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Kunnskap om risikostyring og internkontroll Organisatoriske forhold Resultat fra spørreundersøkelse og samtaler med utvalgte ledere viser at lederne har varierende kjennskap til, og kompetanse om risikostyring og internkontroll. Opplæring er mangelfull og i liten grad satt i system. Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i St.Olavs. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming. Risikostyring og internkontroll er i noen grad diskutert og forankret i styret, men styret har ikke vedtatt et overordnet styringsdokument. Det er utarbeidet en overordnet beskrivelse av kvalitetssystemet ved St.Olavs (ID 23974). Dokumentet inneholder en rekke gode og relevante tema, men fremstår noe uryddig. Noen punkter beskriver en ønsket situasjon, noen en faktisk situasjon, og noe er generell informasjon. Dokumentet er ikke ajourført i samsvar med fastsatt revisjonsfrist. Opplæring - Lederne bør gis innføring i risikostyring og internkontroll slik at de har tilstrekkelig forståelse, et felles utgangspunkt og felles begrepsapparat. Ut fra definerte krav og forventinger til lederne bør det gjennomføres en kartlegging av ledernes behov for opplæring. Det bør videre vurderes å koordinere opplæringstiltak på tvers av helseforetakene i regionen. Overordnede retningslinjer - Det bør utarbeides overordnede retningslinjer for risikostyring og internkontroll som diskuteres og forankres i styret. Retningslinjene skal gi tydelige krav og føringer, og bidra til at det etableres og vedlikeholdes en effektiv risikostyringsprosess på tvers av klinikker og enheter tilpasset foretakets art, størrelse og kompleksitet. I dette arbeidet bør det være en dialog opp mot det regionale foretaket for å bidra til en enhetlig praksis på tvers av helseforetakene. Dagens beskrivelse av kvalitetssystemet inneholder flere punkter som vil være naturlig å inkludere i overordnede retningslinjer. Det kan derfor vurderes om dette dokumentet skal tilpasses til å utgjøre foretakets overordnede dokument, eller om dokumentet skal si noe mer detaljert om praktiseringen av overordnede retningslinjer som styrebehandles. Det vil uansett være behov for gjennomgang og opprydding i dokumentet og tydeliggjøre krav og forventninger. 14

15 4. Anbefalinger (2:3) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. På revisjonstidspunktet var det ikke utarbeidet noen overordnet risikovurdering hverken på foretaksnivå, eller klinikk/ avdelingsnivå med utgangspunkt i foretakets mål og strategier. Det er etablert maler og rammeverk for gjennomføring av ROS-analyser (risiko- og sårbarhetsvurderinger). ROS-analyser brukes som et hjelpemiddel ved omstilling for å få belyst risikobildet. Nytten vurderes av lederne som variabel. Det foretas ikke noe systematisk oppfølging og rapportering i etterkant av gjennomførte ROSanalyser. Dette medfører en risiko for at identifiserte risikoreduserende tiltak ikke blir implementert/gjennomført som planlagt. Foretaket arbeider systematisk med utarbeidelse av standardiserte pasientforløp. Ut fra samtaler med lederne er det vårt inntrykk at risikovurdering ikke brukes som et aktivt verktøy i dette arbeidet. Identifikasjon og vurdering av risiko Det bør etableres et system for identifikasjon av sentrale risikoer i foretaket. Basert på identifiserte risikoer bør det gjennomføres en overordnet risikovurdering (risikoworkshop) på ledelsesnivå minimum årlig. Resultatet av gjennomgangen bør fremlegges for styret. Risikoanalyser bør også gjennomføres mer systematisk og formalisering på ulike nivå i foretaket. Dette gjelder eksempelvis innenfor ulike enheter, prosesser, pasientforløp og i forkant av større endringer. 15

16 4. Anbefalinger (3:3) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Oppfølging og forbedring Pasienterfaringer - Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet. Pasienterfaringer Det bør etableres et system for systematisk innhenting og bruk av pasienterfaringer i forbedringsarbeidet. Oppfølging og forbedring Foretaket har ikke et helhetlig system for løpende registrering, oppfølging og rapportering av status på forbedringstiltak som er identifisert gjennom eksempel revisjoner, tilsyn, NPE-saker, ledelsens gjennomgang og pasientsikkerhetsvisitter. System for oppfølging av forbedringstiltak For å sikre at alle identifiserte forbedringstiltak følges opp på en systematisk måte bør det vurderes å etablere et system for registrering og oppfølging av tiltak, og periodisk rapporteres for eksempel til KPU, ledelsen og styret. Oppfølging og forbedring Det gjennomføres årlig enkelte revisjoner i regi av sentral stab. Revisjoner blir prioritert basert på ledelsens gjennomgang. Omfanget er redusert de siste årene. Kun et fåtall klinikker gjennomfører egenkontroller og revisjoner, som eksempelvis kontroll med journalføring. Det er ikke utarbeidet noen overordnet prosedyrer for egenkontroll i foretaket. Egenkontroller Det bør i større grad etableres egenkontroller i linjen, og dette bør beskrives i en overordnet prosedyre. Ledende praksis tilsier at det etableres egenkontroller for å sikre at etablerte tiltak og prosedyrer fungerer som forutsatt, eksempelvis innenfor sentrale områder som journalføring, koding og legemiddelhåndtering. Formålet med en slik tilnærming er å være i forkant av hendelser, dvs avdekke eventuelt manglende etterlevelse av interne prosedyrer før dette medfører konsekvenser i pasientbehandlingen. 16

17 Vedlegg Resultater fra spørreundersøkelse

18 Overordnet score pr klinikk I starten av prosjektet ble det sendt ut en spørreundersøkelse til ledere på ulike nivå i St.Olavs 1 for å gjøre en innledende kartlegging knyttet til risikostyring og internkontroll opp mot god praksis. Det ble totalt mottatt 292 tilbakemeldinger. Som illustrert nedenfor scorer 2 klinikkene noe ulikt innenfor de ulike hovedtemaene. 4,80 4,60 4,40 4,20 4,00 3,80 3,60 3,40 3,20 Kunnskap IK Organisatoriske forhold Identifisere og håndtere risiko Oppfølging og forbedring Labratoriemedisinsk klinikk Kvinneklinikken Klinikk for rus- og avhengighetsmedisin Divisjon St.Olavs driftsservice Klinikk for bildediagnostikk Klinikk for ortopedi, revmatologi og hudsykdommer Medisinsk klinikk Divisjon psykisk helsevern Klinikk for kliniske servicefunksjoner Klinikk for thoraxkirurgi Klinikk for anestesi- og intensivmedisin Kirurgisk klinikk Nevroklinikken Klinikk for lunge- og arbeidsmedisin Barne- og ungdomsklinikken Klinikk for fysikalsk medisin og rehabilitering Klinikk for hjertemedisin Klinikk for akutt- og mottaksmedisin Kreftklinikken Klinikk for øre-nese-hals, kjeve- og øyesykdommer Annet Gjennomsnitt alle 1 Totalt 412 ledere mottok undersøkelsen, herunder adm.dir, Fagavdelingen, klinikksjefer, avdelingsleder og seksjonsledere 2 Snitt score for alle respondenter på alle spørsmål innenfor de aktuelle hovedområdene. Oppsummering med resultater pr klinikk er utarbeidet og oversendt til de ulike klinikkene

19 Overordnet score pr ledelsesnivå

20 Organisatoriske forhold Utvalgte resultater

21 Utvalgte resultater identifiser og håndtere risiko

22 Utvalgte resultater Oppfølging og forbedring

23 Internrevisjonen Om internrevisjonen i Helse Midt-Norge Internrevisjonen er organisert under styret i Helse Midt-Norge RHF og rapporterer funksjonelt til styrets revisjonsutvalg og administrativt til administrerende direktør i det regionale helseforetaket. Internrevisjonen ble etablert i 2005, og er fra hjemlet i Lov om helseforetak 37a. Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i det regionale helseforetaket og helseforetakene i regionen. Om revisjonsprosjektet: Revisjonsperiode: Juni september 2015 Virksomhet: St. Olavs Hospital HF Oppdragsgiver: Styret i Helse Midt-Norge RHF Prosjektet er gjennomført i samarbeid med EY (Ernst & Young) Revisorer: Ellinor Wessel Pettersen (Internrevisjonssjef HMN) Per-Ove Godø (Internrevisor HMN) Tove Albrektsen (Prosjektleder EY) Kontaktpersoner: Internrevisjonen: Internrevisjonssjef Ellinor Wessel Pettersen St.Olavs Hospital HF: Kvalitetssjef Merete Blokkum