Internkontroll i Helse Nord RHF

Transkript

1 Internkontroll i Helse Nord RHF Utforming og oppfølging av styringsdokumentene til helseforetakene og Årlig melding til Helse- og omsorgsdepartementet Internrevisjonsrapport nr 2/

2 INNHOLDSFORTEGNELSE 1 SAMMENDRAG... 3 Bakgrunn... 3 Revisjonskriterier... 3 Metode... 3 Funn og anbefalinger INNLEDNING Bakgrunn Formål Revisjonskriterier Omfang, avgrensing Metode FUNN Målsettinger Fordeling av ansvar og myndighet Kompetanse Risikovurdering og prioritering Informasjon og kommunikasjon Rutiner for å forebygge, avdekke og rette opp svakheter Ledelsens oppfølging av internkontrollen Dokumentasjon av internkontrollen VURDERINGER OG ANBEFALINGER Anbefalinger vedrørende internkontroll knyttet til styringsdokumenter og Årlig melding Anbefalinger vedrørende internkontrollen generelt

3 1 SAMMENDRAG Bakgrunn I kartleggingen av styringssystemet ved Helse Nord RHF vinteren 2006, gjorde internrevisjonen observasjoner som tydet på svakheter og mangler i foretakets internkontroll. På den bakgrunn har vi i dette revisjonsprosjektet undersøkt hvordan RHF-ledelsen styrer arbeidet med utforming og oppfølging av styringsdokumentene til helseforetakene (HF-ene) og Årlig melding til Helse- og omsorgsdepartementet (HOD). Formål Formålet med denne revisjonen er å vurdere om Helse Nord RHF s internkontroll sikrer at utforming og oppfølging av styringsdokumenter til helseforetakene og Årlig melding til HOD foregår betryggende og hensiktsmessig. Revisjonskriterier Prosjektet dreier seg om internkontroll, som defineres slik: Intern kontroll er en prosess, utført av virksomhetens styre, ledelse og ansatte. Den utformes for å gi rimelig grad av sikkerhet for måloppnåelse innenfor følgende kategorier: Målrettet og kostnadseffektiv drift Pålitelig regnskapsrapportering Etterlevelse av gjeldende lover og regler. I dette prosjektet, med fokus på utforming og oppfølging av styringsdokumenter og Årlig melding, er det kategoriene målrettet og kostnadseffektiv drift og etterlevelse av gjeldende lover og regler som er aktuelle. Vi har identifisert åtte revisjonskriterier i prosjektet. Det vil si åtte komponenter som må være tilfredsstillende ivaretatt for at Helse Nord RHF skal ha en internkontroll på dette området som er tilpasset virksomhetens risiko og vesentlighet, slik Helse- og omsorgsdepartementet krever. De åtte revisjonskriteriene er: Metode Målsettinger Fordeling av ansvar og myndighet Kompetanse Risikovurdering Informasjon og kommunikasjon Rutiner for å forebygge, avdekke og rette opp svakheter Ledelsens oppfølging av internkontrollen Dokumentasjon Revisjonen er gjennomført ved dokumentgransking, intervjuer og stikkprøver. 3

4 Funn og anbefalinger Vår gjennomgang av prosessene rundt utarbeiding og oppfølging av styringsdokumenter til helseforetakene for 2006 og Årlig melding til HOD for 2005, viste svakheter og mangler i forhold til alle åtte revisjonskriterier. Internrevisjonen gir følgende anbefalinger til ledelsen i Helse Nord RHF: Vedrørende internkontroll knyttet til styringsdokumenter og Årlig melding: a. Ledelsen bør beskrive mål for arbeidet med utforming av styringsdokument til HF-ene og Årlig melding til HOD. b. Ledelsen bør ta stilling til hvem som skal gjøre hva i forbindelse med utforming og oppfølging av styringsdokument til HF-ene og Årlig melding til HOD, og formidle dette tydelig til medarbeiderne. c. Det bør etableres fast rutine for evaluering av dokumentene og arbeidsprosessene i ettertid, hvor de involverte medarbeiderne deltar. Vedrørende internkontrollen generelt: d. Alle ansattes ansvars- og arbeidsområder bør nedfelles skriftlig og gjøres tilgjengelig for øvrige medarbeidere. e. Ledelsen bør kartlegge og vurdere hvilken kompetanse det er behov for i Helse Nord RHF. f. Det bør gjennomføres en kartlegging av kompetansen til de ansatte i Helse Nord RHF, og etableres rutine for jevnlig oppdatering av denne oversikten. g. Ledelsen bør etablere opplegg for systematisk opplæring av ansatte. h. Ledelsen bør revurdere og eventuelt innskjerpe rutiner som skal sikre at medarbeiderne får tilgang til nødvendig og nyttig informasjon. i. Ledelsen bør gjennomføre systematiske risikovurderinger av virksomheten i Helse Nord RHF. j. Ledelsen bør etablere et opplegg for utarbeidelse, godkjenning, lagring og oppdatering av rutiner og prosedyrer m.m. k. Det bør etableres rutiner for avviksbehandling. l. Ledelsen bør etablere faste rutiner for overvåking av internkontrollen. 4

5 2 INNLEDNING 2.1 Bakgrunn Helse Nord RHF skal ha et samlet opplegg for internkontroll for virksomheten, det fremgår bl.a. av protokoll fra foretaksmøtene i januar 2005 og januar Dette er et krav om systematisk styring. Det innebærer blant annet at ledelsen i RHF-et klargjør sine mål og prioriteringer og har etablert ordninger som forebygger svikt og fanger opp uheldige forhold med tanke på forbedring. Vinteren 2006 begynte internrevisjonen å kartlegge styringssystemet ved RHF-et. Vi tok bl.a. for oss systemets struktur, styring av interne prosesser og resultat av styringen. Internrevisjonen gjorde flere observasjoner som tydet på svakheter og mangler. Systemet fremsto som uoversiktlig, og mange av elementene i internkontrollen virket lite kjent både i ledergruppen og blant andre ansatte. Vi registrerte også flere tilfeller av brudd på lovkrav og interne krav. For å få bedre innsikt i Helse Nord RHFs internkontroll generelt og undersøke hvordan den fungerer i praksis, har vi i dette revisjonsprosjektet undersøkt hvordan RHF-ledelsen styrer arbeidet med utforming og oppfølging av styringsdokumentene til helseforetakene (HF-ene) og Årlig melding til Helse- og omsorgsdepartementet (HOD). Disse omfattende årlige prosessene stiller store krav til intern styring for å sikre innholdsmessig kvalitet og effektiv bruk av ressurser i Helse Nord. Sviktende internkontroll på dette området medfører risiko for at RHF-ets sørge for-ansvar ikke blir godt nok ivaretatt, og det kan føre til uhensiktsmessig bruk av ressurser på rapportering i HF-ene. 2.2 Formål Formålet med denne revisjonen er å vurdere om Helse Nord RHF s internkontroll sikrer at utforming og oppfølging av styringsdokumenter til helseforetakene og Årlig melding til HOD foregår betryggende og hensiktsmessig. 2.3 Revisjonskriterier En rekke lover og forskrifter som regulerer helseforetakenes virksomhet inneholder krav om internkontroll. Det gjelder bl.a. lov om helseforetak, lov om helseregistre og behandling av helseopplysninger, forskrift om systematisk helse-, miljø- og sikkerhetsarbeid og forskrift om behandling av personopplysninger. Videre har Helse- og omsorgsdepartementet stilt konkrete krav til internkontroll i Helse Nord RHF i foretaksmøtene av (protokollens pkt 4.1.1) og (protokollens pkt 4.2.1). I 2006-protokollen er dette formulert slik: Styret for Helse Nord RHF skal påse at internkontrollen i det regionale helseforetaket og helseforetaksgruppen er sikret i tilstrekkelig omfang og på en systematisk måte, tilpasset risiko og vesentlighet, med nødvendig ledelsesmessig forankring i hele organisasjonen. Risikofaktorer som kan medvirke til at målene til det regionale helseforetaket og helseforetaksgruppen ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse, skal beskrives og oversendes departementet som en del av rapporteringen for 1. tertial

6 I dette revisjonsprosjektet vurderer vi Helse Nord RHFs utforming og oppfølging av styringsdokumenter til helseforetakene og Årlig melding til HOD opp mot foretaksmøtets krav om internkontroll tilpasset virksomhetens risiko og vesentlighet. Internkontroll dreier seg om styring av virksomheten og systematisk arbeid for å oppnå kvalitetsforbedring av denne sosial- og helsedirektoratet bruker i en egen veileder uttrykket å holde orden i eget hus. I COSO-rapporten Intern kontroll, et integrert rammeverk 1, benyttes følgende definisjon: Intern kontroll er en prosess, utført av virksomhetens styre, ledelse og ansatte. Den utformes for å gi rimelig grad av sikkerhet for måloppnåelse innenfor følgende kategorier: Målrettet og kostnadseffektiv drift Pålitelig regnskapsrapportering Etterlevelse av gjeldende lover og regler. En hensiktsmessig internkontroll består av en rekke komponenter, og noen av disse er særlig viktige for temaet som vurderes i dette revisjonsprosjektet (å sikre at ledelsen har god styring og kontroll med utforming og oppfølging av styringsdokumenter og Årlig melding). Det gjelder følgende internkontrollkomponenter : Målsettinger Det må settes mål for Helse Nord RHF, både på overordnet virksomhetsnivå (for eksempel visjoner og strategier) og på detaljert aktivitetsnivå (bl.a. i forhold til styringsdokumenter og Årlig melding.) Uten definerte mål kan ikke ledelsen vurdere og styre risikoen for ikke å nå målene, og oppnå rimelig grad av sikkerhet for måloppnåelse, som er hensikten med internkontroll. Fordeling av ansvar og myndighet Det er viktig for en tilfredsstillende utførelse av foretakets aktiviteter og oppgaver, og dermed for måloppnåelse, at ledelsen har tildelt ansvar og delegert myndighet for ivaretakelse av oppgavene. Kompetanse Medarbeiderne må ha nødvendig kompetanse for å ivareta sine arbeidsoppgaver på en betryggende måte, om virksomheten skal nå sine mål. Ledelsen bør derfor klargjøre kompetansebehovet for de ulike arbeidsoppgavene, og sørge for at medarbeiderne som ivaretar dem har de ferdigheter og kunnskaper som trengs. Risikovurdering Gjennom systematiske risikovurderinger skal ledelsen identifisere og analysere de risikoer som fins for at virksomheten ikke når sine mål. Dette gir ledelsen grunnlag for bl.a. å prioritere hvilke risikoer man vil redusere gjennom motvirkende tiltak. Informasjon og kommunikasjon Tilgang på relevant informasjon til rett tid og i hensiktsmessig form, er nødvendig for at ledelsen og andre medarbeidere skal arbeide i retning av de fastsatte mål. Kommunikasjon i videre forstand er også viktig, slik at det bl.a. formidles på en effektiv og klar måte hvilke arbeidsoppgaver en avdeling eller en ansatt skal ivareta, og hvilke forventninger ledelsen har til hvordan oppgavene skal utføres og hva resultatet skal bli. 1 Amerikansk rapport fra 1992 som etablerte et felles begrepsapparat innen intern kontroll. Utgitt på norsk av Cappelen Akademisk Forlag as i

7 Rutiner for å forebygge, avdekke og rette opp svakheter For å sikre at risiko håndteres som vedtatt kreves det rutiner og tiltak som hindrer at svakheter og mangler oppstår, og rutiner/tiltak som sikrer at eventuelle avvik avdekkes og rettes opp. Slike kontrollaktiviteter er en sentral internkontrollkomponent. Ledelsens oppfølging av internkontrollen Et internkontrollsystem og bruken av det, utvikles og endres over tid. Det samme gjør virksomheten som systemet anvendes på. Ledelsen må derfor følge opp internkontrollen og vurdere om systemet fungerer effektivt, og sette i verk nødvendige forbedringstiltak ved behov. Dette kan foregå både som kontinuerlig overvåking, for eksempel ved intern muntlig eller skriftlig rapportering, og i form av frittstående evalueringer. Dokumentasjon For at et internkontrollsystem skal kunne etterleves og etterprøves, må det dokumenteres beskrives på hensiktsmessig måte i det omfang som er nødvendig. Beskrivelsen må være tilgjengelig for alle som har bruk for informasjonen. Internrevisjonen benytter de åtte internkontrollkomponentene som er nevnt her, som revisjonskriterier i prosjektet. Det vil si at vi legger til grunn at disse komponentene må være tilfredsstillende ivaretatt for at HODs krav om internkontroll tilpasset virksomhetens risiko og vesentlighet skal være innfridd, for denne delen av RHF-ets virksomhet. Vi har vurdert foretakets virksomhet knyttet til utforming og oppfølging av styringsdokumenter til HF-ene og Årlig melding til HOD, opp mot disse åtte komponentene. Noen av kriteriene og vurderingene er klart avgrenset til temaet styringsdokumenter og Årlig melding. Andre dreier seg om intern kontroll på et mer overordnet nivå, og gir dermed grunnlag for mer generelle konklusjoner om internkontrollen i Helse Nord RHF. 2.4 Omfang, avgrensing I dette revisjonsprosjektet har internrevisjonen kartlagt deler av internkontrollsystemet ved Helse Nord RHF og undersøkt om ledelsen har iverksatt systematiske tiltak som sikrer at: 1. utforming og oppfølging av styringsdokumentene og Årlig melding er godt organisert, herunder at det framgår klart hvordan oppgaver, ansvar og myndighet er fordelt 2. lovkrav til offentlighet og saksbehandling blir etterlevd 3. medarbeiderne i Helse Nord RHF medvirker slik at relevant kunnskap og erfaring utnyttes 4. erfaringer/synspunkter fra helseforetakene, HOD og eventuelt andre, blir brukt systematisk i arbeidet med utforming av styringsdokumentene og Årlig melding 5. prioritering av innholdet i styringsdokumentene og Årlig melding baseres på vurdering av risiko og vesentlighet 6. det er etablert nødvendige interne rutiner for å sikre at styringsdokumentene og Årlig melding blir utarbeidet på en hensiktsmessig måte 7

8 Denne revisjonen gjelder en avgrenset del av internkontrollsystemet i Helse Nord RHF, jf. formålet gjengitt i pkt 2.2 ovenfor. Avgrensingen betyr bl.a. at vi ikke har vurdert internkontroll som gjelder målet om pålitelig regnskapsrapportering. 2.5 Metode Revisjonen ble varslet 10. april 2006 og er gjennomført ved dokumentgransking, intervjuer og forberedte samtaler, samt stikkprøver på om rutiner, prosedyrer etc. blir fulgt i praksis. De viktigste informasjonskildene for å kartlegge internkontrollsystemet har, foruten ansatte ved RHF-et, vært saksbehandlings-/arkivsystemet Doculive, kvalitetssystemet DocMap, Helse Nord RHFs intranett og internett, fellesområdet på dataserveren og diverse papirbasert dokumentasjon. Utvelgelse av intervjupersoner og dokumentgjennomgang er gjort med grunnlag i en risikovurdering med tanke på om myndighetskrav blir etterlevd. Utgangspunktet har vært krav i HODs bestillerdokument og foretaksprotokoller fra 2005 og 2006, samt lovkrav til offentlighet og saksbehandling. Det er gjennomført til sammen åtte intervjuer, fire med ledere og fire med andre ansatte. 3 FUNN Nedenfor gis en oppsummering av opplysningene internrevisjonen har samlet inn i prosjektet, knyttet opp mot de åtte revisjonskriteriene som er beskrevet i pkt 2.3 foran. 3.1 Målsettinger Internrevisjonen har i dette prosjektet ikke vurdert overordnede mål for virksomheten, men har vært opptatt av om det er satt konkrete mål knyttet til utarbeidelse og oppfølging av styringsdokumenter og Årlig melding. Det ble ikke formulert egne mål for Årlig melding 2005 eller styringsdokumenter Ledelsen ga få føringer for dokumentenes innhold og struktur før medarbeiderne startet arbeidet. Intervjupersonene oppfattet at Årlig melding skulle utformes etter mal fra foregående år, og at kravene i HODs bestillerdokument og foretaksprotokollen skulle legges til grunn. Bortsett fra kortfattede e-poster og referater fra ledermøter i den aktuelle perioden, har ledelsen ikke gitt skriftlige føringer for arbeidet. 3.2 Fordeling av ansvar og myndighet Hovedprinsippet i Helse Nord RHF s internkontrollsystem er knyttet til organiseringen i seksjoner, hvor ansvar og myndighet i stor grad er delegert til seksjonslederne. Arbeidsavtalene for seksjonslederne, andre ledere og medarbeidere skal gi en viss oversikt over den enkeltes oppgaver, ansvar og myndighet. Det viser seg imidlertid at mange av avtalene ikke gir et reelt bilde av dagens situasjon, og ikke samsvarer med informasjonen om de ansattes arbeidsområder som ligger på Helse Nords hjemmeside på internett. Seksjonslederne har hver sine systemer for å holde oversikt over seksjonens oppgaver og fordelingen av ansvar og myndighet blant medarbeiderne. Internrevisjonen har ikke undersøkt 8

9 hvordan seksjonslederne holder denne oversikten. De har ansvar for å rapportere til administrerende direktør hvis det er oppgaver seksjonen ikke får utført. Revisjonen har heller ikke undersøkt hvilke oppgaver, ansvar og myndighet som er fordelt til de ansatte som ikke er organisert under noen av seksjonene. Også disse skal rapportere til administrerende direktør hvis det er oppgaver de ikke får utført. Forskjellige medarbeidere hadde i oppgave å skrive utkast til innhold i styringsdokumentene og Årlig melding innenfor sine arbeidsområder. Ledelsen hadde utpekt én koordinator som skulle sammenstille innspillene. (Styringsdokument 2006 til Sykehusapotek Nord HF ble i hovedsak utarbeidet av én medarbeider etter at ledelsen ble klar over at dette ikke var tatt hånd om i den øvrige prosessen.) Utkastene ble så behandlet i ledermøter utkastene til styringsdokumenter også i direktørmøte før endelig versjon ble utarbeidet og godkjent av administrerende direktør. 3.3 Kompetanse Ledelsen gjorde en kartlegging av de ansattes kompetanse kort tid etter etableringen av Helse Nord RHF. Det er ikke gjennomført noen systematisk oppdatering av denne oversikten senere. Det er heller ikke utarbeidet planer for intern opplæring, etter- eller videreutdanning. Program for opplæring av nyansatte er under utarbeiding nå. Flere medarbeidere deltar i etter- og videreutdanningsopplegg. Internrevisjonen har ikke undersøkt hvilket system ledelsen har for å prioritere hvem som skal delta på hva, hvordan oppleggene skal gjennomføres og hvordan organisasjonen skal dra nytte av utdanningen. Gjennom intervjuene kom det frem at det ikke gjennomføres systematisk opplæring i krav til saksbehandling og arkivering i offentlig virksomhet. Det fremgikk også at nye medarbeidere ikke gis systematisk opplæring i bruk av saksbehandlings- og arkivsystemet Doculive, og at flere ledere og andre ansatte ikke har gjennomgått opplæring i bruk av kvalitetssystemet DocMap. Det er viktig at den kompetanse medarbeiderne har, også blir nyttiggjort i virksomheten. Vi har derfor undersøkt hvordan ledelsen sørger for at medarbeidernes erfaringer og synspunkter trekkes inn i arbeidet med evaluering av styringsdokumentene og Årlig melding. Vi intervjuet medarbeidere som står sentralt både i arbeidet med å utforme og med å følge opp kravene som stilles til HF-ene. Her fremkom det mange synspunkter, basert på egne vurderinger og tilbakemeldinger fra HF-ene, som medarbeiderne mente var viktige med tanke på forbedring av styringsdokumentene og Årlig melding. Dette gjaldt utformingen av styringsdokumentene, og det gjaldt rapporteringsordningene det legges opp til i Plankalender 2006 med vedlegg, som ble sendt til HF-ene 30. mars Flere intervjupersoner la vekt på behovet for å forbedre rapporteringen fra HF-ene både mht. innhold, omfang, form, rapporteringsfrekvens og -tidspunkt. Disse synspunktene var ifølge intervjupersonene ikke formidlet til ledelsen på systematisk vis og var heller ikke etterspurt. Tilsvarende ble opplyst når det gjelder Årlig melding. Flere av de intervjuede stilte også spørsmål ved om RHF-ets vurdering og bruk av rapporter fra HF-ene tilfredsstiller alminnelige krav til dokumentasjonsgrunnlag og tilstrekkelig faglige vurderinger. Eksempler som kan nevnes er krav knyttet til psykisk helsevern, smittevernpersonell og ivaretakelse av retten til Individuell plan. 9

10 3.4 Risikovurdering og prioritering Internrevisjonen er ikke kjent med at det foreligger skriftlige risikovurderinger fra tidligere år. Vi har ikke undersøkt hvordan ledelsen tidligere har skaffet seg oversikt over risikoområder i egen virksomhet. Når det gjelder risiko for at helseforetakene ikke skal innfri kravene, baserer RHFledelsen sin vurdering delvis på løpende rapportering (månedlig og tertialvis), men også på innhenting av opplysninger gjennom direktørmøter og dialogmøter. Våren 2006 startet imidlertid RHF-ledelsen en risikovurdering med fokus på hvilke krav i HODs bestillerdokument og i foretaksprotokollen som står i fare for ikke å bli innfridd i Vurderingen er dokumentert i en tabell som ble oversendt HOD ved brev av 30. juni 2006, i forbindelse med rapportering for 1. tertial. Tabellen viser status på arbeidet (løst under arbeid ikke iverksatt), vurdering av risikoen (høy middels lav), og hvem som har ansvar for oppgavene. Risikovurderingen er ikke fullstendig, noe som også fremgår av brevet. Det er for eksempel bare angitt hvor stor risikoen antas å være for et fåtall av kravene. Internrevisjonen har ikke gått nærmere inn på metodikken som er benyttet for denne risikovurderingen. Vi har imidlertid gjennomgått tabellen, og konstaterer bl.a. at enkelte oppgaver oppgis å være løst, uten at det synes å være tilfelle. I tabellen nedenfor gjengis våre merknader til oversikten som ble sendt HOD 30. juni 2006: Krav fra HOD for 2006 (i bestillerdok./ foretaksprotokoll): Helse Nord skal påse at kvalitetsutvalg er etablert i HF-ene og at det er integrert i virksomhetens kontinuerlige kvalitetsarbeid. Smittevern - Det må etableres prosedyrer for overvåking av antibiotikaforbruket. - Det må være oppdaterte infeksjonskontroll-program i helseinstitusjonene. Helse Nord skal sørge for at alle som har rett på individuell plan, og ønsker det, får tilbud om det. Helse Nord skal gjennomgå tildeling av nødvendig helsehjelp i egne helseforetak og iverksette tiltak som sikrer mer enhetlig tildeling av nødvendig helsehjelp innenfor egen helseregion. Status iflg. RHF (brev ): Løst Ikke iverksatt Under arbeid Under arbeid Internrevisjonens kommentarer: RHF-et har ikke iverksatt eller planlagt tiltak som sikrer nødvendig grunnlag for å vurdere om kravet er innfridd. Det er ikke iverksatt eller planlagt tiltak for å påse at dette følges opp i private opptreningsinstitusjoner Helse Nord RHF har avtale med. Det er uklart hvem i RHF-et som har i oppgave å følge opp smittevernet i disse institusjonene. RHF-et har ikke iverksatt eller planlagt tiltak som sikrer nødvendig grunnlag for å vurdere om kravet er innfridd. RHF-et har ikke iverksatt eller planlagt tiltak i 2006 for å sikre tilstrekkelig data-grunnlag for å vurdere om det praktiseres enhetlig tildeling av nødvendig helsehjelp innen foretaksgruppen og opptreningsinstitusjonene i egen helseregion. 10

11 Helse Nord må påse at sykehusapotekenes salg av ikke-reseptpliktige varer og reseptomsetninger til pasienter som ikke er tilknyttet sykehuset, utgjør under 20 % av sykehusapotekenes totalomsetning. Helse Nord RHF skal etablere systemer som skal sikre at all nyetablering av aksjeselskaper og erverv av aksjer i etablerte selskaper, foretas innenfor fastsatte vedtekter, og at låneopptak i disse selskapene skjer innenfor rammene av helseforetaksloven. Det skal rettes særskilt fokus mot: Strålevern avfall og medisinsk strålebruk. Forskrift om strålevern og bruk av stråling av 21. november 2003 stiller flere nye krav til medisinsk strålebruk som trer i kraft fra , herunder krav om godkjenning. Det vises videre til bestemmelsene om utslipp av radioaktive stoffer og HFenes ansvar for at så skjer i henhold til krav gitt i strålevernforskriften. Løst Under arbeid Under arbeid RHF-ledelsen har tatt dette opp muntlig i dialogmøte, men ikke krevd rapportering som sikrer grunnlag for å vurdere om kravet er innfridd. RHF-et har ikke etablert slike systemer. RHF-et har ikke iverksatt eller planlagt tiltak for å sikre at det rettes særskilt fokus mot strålevern i Informasjon og kommunikasjon Informasjon som kommer til RHF-et i posten (også elektronisk) skal rutinemessig distribueres til aktuelle medarbeidere gjennom postfordelingssystemet. Ansatte skal dermed ha tilgang på relevant og oppdatert kunnskap vedrørende sine arbeidsområder gjennom elektronisk dokument i saksbehandlingssystemet eller ved papirkopi i posthylla. Dette gjelder både spesifikk fagkunnskap, sentrale føringer i form av veiledere, retningslinjer og diverse rapporter, og generelle bestemmelser som eksempelvis endringer i relevant lovverk. Det er utarbeidet en skriftlig rutine for postfordeling. Våre stikkprøver og intervjuer viser flere eksempler på at rutinene ikke sikrer at medarbeiderne får nødvendig informasjon om sine arbeidsområder. Relevante rundskriv, veiledere og andre føringer fra sentrale myndigheter er ikke kommet til ansatte med arbeidsområder innen kvalitetsarbeid, strålevern, smittevern og psykisk helsevern. Flere slike mottatte dokumenter er heller ikke å finne i saks-/arkivsystemet Doculive. Stabsmøter og seksjonsmøter er viktige informasjons- og kommunikasjonsarenaer i Helse Nord RHF. Pga stabens betydelig reise- og møteaktivitet er det noe vilkårlig hvilke medarbeidere som er til stede på møtene og får del i denne informasjonen. I noen seksjoner skrives det referater slik at de som ikke deltar blir gjort kjent med innholdet i møtene, men slike ordninger er ikke etablert i hele RHF-et. 11

12 3.6 Rutiner for å forebygge, avdekke og rette opp svakheter Det finnes en del skriftlige rutiner som det er uklart om er gyldige. Noen er åpenbart foreldet, andre finnes i flere utgaver. Internrevisjonen er kjent med at RHF-ledelsen har startet et arbeid med å rydde opp i dette. Denne revisjonen har derfor ikke hatt som mål å skaffe oversikt over hvilke rutiner som er gjeldende per i dag. Internrevisjonen har særlig undersøkt hvilke rutiner/prosedyrer som er etablert for å sikre at krav til offentlighet og saksbehandling blir etterlevd. Videre har vi undersøkt hvilke ordninger som er etablert for å håndtere avvik i egen virksomhet. Generell saksbehandling: Det ble utarbeidet saksbehandlingsrutiner i Disse er ikke oppdaterte, og de synes lite kjent i organisasjonen. Stikkprøver av saksbehandlingen vedrørende Årlig melding 2005 og styringsdokumentene til HF-ene for 2006 viser brudd på flere lovkrav til saksbehandling og offentlige arkiv, jf. punkt 3.8 nedenfor. Avvikshåndtering dvs. ordninger som avdekker, registrerer og retter opp avvik fra eksterne og interne krav, og som sikrer systematisk bruk av avvik i forbedring av internkontrollen: Det er ikke etablerte rutiner for hvordan avvik skal håndteres. Gjentatte avvik fra krav til saksbehandling og arkivering er kjent i organisasjonen, jf. pkt 3.8, men disse blir ikke systematisk rettet opp og brukt i forbedringsarbeidet. Andre eksempler på avvik som ikke er fanget opp av internkontrollen, er: - manglende opplysninger i Årlig melding 2005, jf. tilbakemelding fra HOD i brev av 10. april manglende omtale av Sykehusapotek Nord i Årlig melding mangelfull og misvisende oversikt over avviksrapportering fra HF-ene, jf. vedlegg 4 til Årlig melding Ledelsens oppfølging av internkontrollen Det foregår en kontinuerlig overvåking gjennom de ukentlige ledermøter i Helse Nord RHF, hvor konkrete saker knyttet til styring og kontroll blir behandlet. Møtereferatene gir imidlertid lite informasjon om hvordan ledelsen vil følge opp sakene, og internrevisjonen har ikke undersøkt nærmere hvordan ledermøtene fungerer i denne sammenheng. Vi har heller ikke vurdert hvordan internkontrollen blir fulgt opp i seksjonsmøter og lignende. Opplysningene vi har innhentet tilsier imidlertid at det ikke foregår systematisk overvåking av internkontrollen i disse møtene. Ledelsen har i lengre tid vært kjent med omfattende feil og regelbrudd i saksbehandlingen. En tilfredsstillende ledelsesoppfølging vil bestå i at nødvendige tiltak treffes for å redusere omfanget av slike feil. Enkelte tiltak er iverksatt, men det gjøres fortsatt mange feil i saksbehandlingen. Internrevisjonen er ikke kjent med at det er foretatt noen form for frittstående evaluering av virksomhetsstyringen, eller på annet vis lagt opp til mer systematisk oppfølging av internkontrollen. 12

13 3.8 Dokumentasjon av internkontrollen Internkontrollen i RHF-et er dokumentert i flere ulike systemer. Planer, rutiner, prosedyrer og retningslinjer kan finnes i forskjellige versjoner bl.a. i Doculive, på intranett, internett, fellesområdet på dataserveren og på papir. Det er ofte ikke mulig å se om dokumenter er oppdaterte eller gyldige, og ansatte er ofte ukjente med at dokumentene finnes, og med innholdet i dem. Det er uklart hvordan ledelsen har ment at dokumentasjonen skal organiseres, og hvem som har ansvar for å utarbeide, oppdatere og arkivere dem. Det er ikke etablert en felles rutine for dokumentstyring og maler for vanlige dokumenter som for eksempel prosedyrer, avviksrapporter og prosjektplaner. Helse Nord gikk i 2003 til innkjøp av det elektroniske kvalitets- og ledelsessystemet DocMap. Systemet er et verktøy for kvalitetsstyring som skulle tas i bruk i hele foretaksgruppen. HF-ene skal ha tatt i bruk DocMap som en del av sin internkontroll. Internrevisjonen har ikke undersøkt hvor godt systemet er implementert i HF-ene, men ser at det ikke er iverksatt tiltak som har ført til at systemet er i alminnelig bruk i RHF-et. Det har vært gitt sporadisk opplæring i bruk av systemet, men intervjuene viser at så vel ledere som øvrige ansatte bare unntaksvis har kunnskap om DocMap og kan bruke det. Status for innføringen av kvalitetssystemet for vel ett år siden fremgår av et internt notat til ledergruppen datert 10. oktober Her konstateres bl.a. at Det er behov for å systematisere arbeidet med overordnet kvalitetshåndbok for Helse Nord, slik at ansvar og myndighet fremgår klart og tydelig. Det er ikke gjort rede for hva en slik kvalitetshåndbok skal inneholde, og hvordan eventuelle underliggende elementer skal inngå i internkontrollsystemet som helhet. Intervjuene viser også at medarbeiderne ikke vet hvordan ledelsen vil at DocMap skal brukes i RHF-et. Referatet fra ledermøtet 25. oktober 2005 hvor notatet ble behandlet som sak 12 (Kvalitetssystem), sier ikke noe om hvem som skulle følge opp denne saken, og når og hvordan det skulle skje. Overordnet kvalitetshåndbok er ikke laget. Siden det ikke er avklart hvilke elementer i internkontrollen RHF-ledelsen mener skal foreligge i skriftlig form, kan ikke internrevisjonen vurdere om internkontrollen er dokumentert i samsvar med interne krav. Vi har i stedet valgt ut noen grunnleggende eksterne krav til dokumentasjon, og undersøkt om disse blir etterlevd i arbeidet med styringsdokumenter og Årlig melding. Det gjelder: Offentlighetsloven 2, om saksdokumenters offentlighet Lov om arkiv 1 og 6, om arkivplikt Forskrift om offentlege arkiv Gjennomgang av RHF-ets arkiv (papirbasert og elektronisk) vedrørende Årlig melding 2005 og styringsdokumenter 2006, viser gjentatte brudd på kravene til offentlige arkiv og saksbehandling: - Dokumenter mangler i arkiv. (Eksempel: Flere mottatte svar på utgående brev. Plankalender 2006 som er sendt til HF-ene ligger ikke i e-arkiv eller papirarkiv.) - Dokumenter mangler e-vedlegg. - Flere tilfeller av arkivverdig e-post er ikke journalført. - Dokumenter som åpenbart ikke hører sammen arkiveres under samme saksnummer. - Det er uklart hvem som reelt er ansvarlig saksbehandler og hva den funksjonen innebærer. Saksbehandler skiftes ofte. - Det blir ikke tatt ut restanselister fra saksbehandlingssystemet 4 ganger årlig. Referat fra ledermøtet 25. oktober 2005 viser at RHF-ledelsen var kjent med formidable restanser i saks-/arkivsystemet, at det var feil navn på saksbehandler og at det var behov for 13

14 innskjerping av saksbehandlingsrutinene. Ledelsen har påpekt dette i diverse e-postmeldinger til medarbeiderne og tatt problemstillingen opp i stabsmøter. Restanselistene blir nå fulgt opp av ledelsen med ujevne mellomrom, og de fleste restanser gjelder inngående dokumenter som ikke skal saksbehandles men tas til etterretning og føres til arkiv. Internrevisjonen har undersøkt om ledelsen har iverksatt andre relevante tiltak, og fant at: - Det er ikke iverksatt tiltak for å sikre at medarbeiderne får nødvendig opplæring i lovkrav til saksbehandling og arkivering. - Det ble utarbeidet en arkivplan for RHF i 2005 (som er oppdatert høsten 2006). Mange medarbeidere er ikke kjent med at planen fins. - Det ble utarbeidet saksbehandlingsrutiner, trolig i Disse er ikke oppdaterte eller kjent i organisasjonen. - Avvik fra krav til saksbehandling og offentlighet blir ikke fanget opp og systematisk brukt i forbedringsarbeidet. 4 VURDERINGER OG ANBEFALINGER Denne revisjonen er gjennomført på bakgrunn av observasjoner som viste mangler og svakheter i Helse Nord RHFs internkontroll, bl.a. knyttet til utforming og oppfølging av styringsdokumentene til helseforetakene og Årlig melding til Helse- og omsorgsdepartementet. Funnene viser svikt i flere sentrale deler av internkontrollen. Noen av svakhetene avgrenses til prosessene rundt styringsdokument og Årlig melding, men i hovedsak dreier det seg om forhold som også har relevans for andre deler av Helse Nord RHFs virksomhet. Etter internrevisjonens vurdering, må ledelsen så snart som mulig treffe tiltak for å forbedre de avdekkede svakheter i internkontrollen i Helse Nord RHF. Styresak 93/2006 Orienteringssaker, fra november 2006, omfattet bl.a. en orientering om Intern kontroll i Helse Nord RHF status. Her slår ledelsen fast at arbeidet med å utvikle og implementere et helhetlig internkontrollsystem av ulike årsaker ikke har hatt den fremdriften som var forutsatt. Det opplyses også at det er etablert en intern arbeidsgruppe som skal planlegge og følge opp arbeidet med å utvikle internkontrollen i foretaket. Målsettingen for arbeidet er beskrevet slik: å utvikle og legge til rette for en organisasjonskultur med god internkontroll (= som holder orden i eget hus). Funnene i dette revisjonsprosjektet understreker hvor viktig og nødvendig det pågående arbeidet er. Vi nevner også en annen formulering fra samme styresak, som vi gir vår tilslutning til: Arbeidet med internkontrollsystemet er en løpende prosess som involverer alle ansatte. Å legge til rette for god internkontroll er bare ett viktig skritt på vegen, det er den løpende prosessen som skal sikre at man faktisk har god styring og kontroll i foretaket. All erfaring tilsier at nøkkelen til god styring og god internkontroll ligger i ledelsens engasjement og involvering. Det er derfor avgjørende at det pågående arbeidet med å etablere et samlet opplegg er solid forankret i ledelsen i Helse Nord RHF, og at ledelsen holder fokus på intern kontroll i den daglige drift. 14

15 4.1 Anbefalinger vedrørende internkontroll knyttet til styringsdokumenter og Årlig melding a. Ledelsen bør beskrive mål for arbeidet med utforming av styringsdokument til HF-ene og Årlig melding til HOD. Konkrete mål som gir klare føringer for arbeidet vil bidra til å sikre at dokumentene får det innhold og den utforming de bør ha, i samsvar med ledelsens forventninger og virksomhetens overordnede mål. b. Ledelsen bør ta stilling til hvem som skal gjøre hva i forbindelse med utforming og oppfølging av styringsdokument til HF-ene og Årlig melding til HOD, og formidle dette tydelig til medarbeiderne. Mange ansatte i Helse Nord RHF har ansvars- og arbeidsområder som overlapper hverandre. Dette innebærer risiko for at viktige tema blir uteglemt i dokumentene, eller at det gjøres unødig dobbelarbeid. En klar fordeling av oppgavene på medarbeiderne reduserer risikoen betydelig. c. Det bør etableres fast rutine for evaluering av dokumentene og arbeidsprosessene i ettertid, hvor de involverte medarbeiderne deltar. I arbeidet med styringsdokument og Årlig melding tas det gjerne utgangspunkt i forrige års dokument. Dermed er det risiko for at feil som er gjort ett år, gjentas året etter. For at dette ikke skal skje, bør ledelsen sammen med medarbeiderne som har vært involvert i arbeidet, evaluere prosessen i ettertid, og slå fast hva man gjorde bra og hva som bør forbedres. Dermed kan prosessene forbedres i etterfølgende år. En god og kritisk evaluering av arbeidet med styringsdokumentene kan også legge til rette for bedre oppfølging av HF-ene i løpet av året, noe som sikrer at RHF-et har et best mulig grunnlag for å utarbeide Årlig melding til HOD. 4.2 Anbefalinger vedrørende internkontrollen generelt d. Alle ansattes ansvars- og arbeidsområder bør nedfelles skriftlig og gjøres tilgjengelig for øvrige medarbeidere. Usikkerhet om hvilke arbeidsoppgaver en selv og andre i organisasjonen skal utføre, kan resultere i redusert effektivitet, mangelfull intern kommunikasjon og at enkelte oppgaver ikke blir ivaretatt. Derfor bør den enkeltes arbeids- og ansvarsområder nedfelles skriftlig og gjøres tilgjengelig for kollegene, for eksempel på hjemmesidene. Dette er ikke alltid tilfelle i Helse Nord RHF. Det bør også etableres rutine for jevnlig oppdatering av informasjonen. e. Ledelsen bør kartlegge og vurdere hvilken kompetanse det er behov for i Helse Nord RHF. f. Det bør gjennomføres en kartlegging av kompetansen til de ansatte i Helse Nord RHF, og etableres rutine for jevnlig oppdatering av denne oversikten. 15

16 Hvis det ikke er samsvar mellom foretakets kompetansebehov og kompetansen til de ansatte, er det stor risiko for at oppgavene som skal ivaretas ikke blir utført effektivt og faglig tilfredsstillende. Manglende samsvar kan rettes opp ved bevisst planlegging og gjennomføring av opplæring, etter- og videreutdanning, og ved rekruttering av nye medarbeidere med ønsket kompetanse. Dette forutsetter at man har oversikt over både den kompetansen som er påkrevd, og den kompetansen medarbeiderne har. Vi anbefaler derfor at ledelsen sørger for at slike oversikter utarbeides og oppdateres jevnlig. g. Ledelsen bør etablere opplegg for systematisk opplæring av ansatte. Utilstrekkelige kunnskaper innebærer stor risiko for at RHF-ets oppgaver ikke blir godt nok ivaretatt, og at feil oppstår. Tilsvarende gjelder ved manglende ferdigheter i bruk av foretakets elektroniske verktøy. Risikoen motvirkes gjennom gode rutiner for opplæring av nyansatte og løpende oppdatering av alle ansatte. Opplæring er bl.a. viktig ved innføring av nye systemer og i forhold til regelverk og prosesser der erfaringene viser at feil skjer. Vi er kjent med at det arbeides med et opplegg for opplæring av nyansatte, og anbefaler at også annen opplæring, inklusive etter- og videreutdanning, settes i system. h. Ledelsen bør revurdere og eventuelt innskjerpe rutiner som skal sikre at medarbeiderne får tilgang til nødvendig informasjon. Hvis medarbeidere mangler relevant kunnskap, er det risiko for feil og svikt i utførelsen av arbeidet. Det kan også oppstå redusert effektivitet i form av unødig ressursbruk på å søke etter relevant informasjon. For å redusere denne risikoen, anbefaler vi at det etableres rutiner som sikrer at skriftlig informasjon distribueres til alle den angår, og at viktig muntlig informasjon gjøres tilgjengelig for alle som har nytte av den, også de som ikke er til stede når informasjonen gis. i. Ledelsen bør gjennomføre systematiske risikovurderinger av virksomheten i Helse Nord RHF. Risikovurdering er en sentral komponent i ethvert internkontrollsystem. Ledelsen i Helse Nord RHF startet et arbeid med risikovurdering våren 2006, avgrenset til kravene i HODs bestillerdokument og foretaksprotokollen. For å få et godt grunnlag for å identifisere risikoområder og iverksette tiltak som gir økt sikkerhet for måloppnåelse, bør arbeidet med systematiske risikovurderinger intensiveres og utvides. j. Ledelsen bør etablere et opplegg for utarbeidelse, godkjenning, lagring og oppdatering av rutiner og prosedyrer m.m. Usikkerhet mht. om det foreligger interne rutiner på et område, og hvor man eventuelt finner disse i oppdatert og gyldig form, medfører risiko for manglende effektivitet (unødig ressursbruk). Det kan også føre til at arbeidet utføres på en uhensiktsmessig eller uriktig måte. Vi anbefaler derfor etablering av et fast opplegg for hvordan interne rutiner i RHF-et skal utarbeides, hvem som skal gjøre det og i hvilken form, hvem som skal godkjenne rutinene, hvor de skal gjøres tilgjengelig (DocMap, eventuelt også andre steder), hvem som har ansvar for oppfølging og revidering av rutinene osv. 16

17 Det bør også være et system for å gjøre medarbeidere kjent med at det er utarbeidet rutiner som er aktuelle for dem. Også for en del andre dokumenter, som organisasjonskart, plandokumenter, møtereferater mm., er det viktig at det er klare rutiner for godkjenning, arkivering, oppdatering osv. k. Det bør etableres rutiner for avviksbehandling. Feil og mangler som avdekkes i en virksomhet er et signal om risiko, ettersom en feil som har oppstått én gang, ofte vil gjenta seg. Feilen bør derfor ikke bare korrigeres eller tas til etterretning, den må vurderes nærmere. Hvis feilen kan ha konsekvenser som ikke er ubetydelige og det er fare for gjentakelse, må risikoen reduseres. Dette kan for eksempel skje ved innføring av nye tiltak eller innskjerping av etablerte rutiner. Det bør derfor etableres rutiner som sikrer systematisk bruk av avvikene i arbeidet med forbedring av foretakets drift og internkontroll. l. Ledelsen bør etablere faste rutiner for overvåking av internkontrollen. Effektiviteten av foretakets styrings- og kontrollsystem vil påvirkes av endinger som skjer i virksomheten. Det er også risiko for at vedtatte rutiner ikke blir fulgt i praksis. Ledelsen bør derfor sørge for regelmessig gjennomgang av internkontrollen, slik at behov for endringer avdekkes og nødvendige justeringer kan iverksettes. 17