Rapport 3/2010. Revisjon av intern styring og kontroll i Sykehuspartner

Transkript

1 Rapport 3/2010 Revisjon av intern styring og kontroll i Sykehuspartner Konsernrevisjonen Helse Sør-Øst,

2 Rapport nr. 3/2010 Revisjonsperiode Oktober april 2010 Virksomhet Rapportmottaker Kopi (av endelig rapport) Rapportavsender Oppdragsgiver Revisor Sykehuspartner Direktør Sykehuspartner Administrerende direktør Helse Sør-Øst RHF Styreleder Sykehuspartner Revisjonskomiteen Helse Sør-Øst RHF Konsernrevisjonen Helse Sør-Øst Styret i Helse Sør-Øst RHF Kjetil Berg (prosjektleder) Marte Vestengen Hans Petter Eide Tove Farstad Karl-Helge Storhaug (prosjekteier) Innhold 1 INNLEDNING BAKGRUNN FORMÅLET MED GJENNOMGANGEN...3 PROSESS OG METODE REVISJONSTEAM...4 VEILEDNING TIL LESEREN SYKEHUSPARTNER I DAG BESKRIVELSE AV VIRKSOMHETEN OG UTFORDRINGSBILDET KONTEKST FOR GJENNOMGANGEN VIRKSOMHETSSTYRING, INTERNKONTROLL OG RISIKOSTYRING SAMMENHENGEN MELLOM INTERNKONTROLL OG VIRKSOMHETSSTYRING INTERNKONTROLLFAKTORER SOM ER OMFATTET AV REVISJONEN FUNN FRA GJENNOMGANGEN INNLEDNING RISIKO- OG VESENTLIGHETSBETRAKTNINGER...11 STYRINGS- OG KONTROLLMILJØ ETABLERING AV MÅLSETTINGER OG RISIKOSTYRING...16 TILTAK FOR Å HA STYRING OG KONTROLL OPPFØLGING INFORMASJONSGRUNNLAG, SAKSGANG OG RAPPORTBEHANDLING INFORMASJONSGRUNNLAG GJENNOMFØRTE SAMTALER...27 SAKSGANG OG RAPPORTBEHANDLING...28 Utformet av Konsernrevisjonen Helse Sør-Øst Side 2 av 28

3 1 Innledning 1.1 Bakgrunn Revisjonsplan for nedfeller at konsernrevisjonen skal ha særlig fokus på omstillings- og endringsprosesser som skal gjennomføres som ledd i Strategisk plan for utvikling i Helse Sør- Øst Omstillingsprogrammet. Planens innsatsområde - organisering og utvikling av fellestjenester fremhever at støttefunksjoner skal understøtte og forbedre kjernevirksomhet og arbeidsprosesser. Gjennom å utnytte stordriftsfordeler innen IKT-, stabs- og støttefunksjoner skal økonomiske ressurser frigjøres til pasientbehandling og kvaliteten økes på de administrative funksjoner når det gjelder teknologi, organisasjon og prosess. Gevinster skal realiseres som følge av standardisering, virksomhetsutvikling, felles infrastruktur og drift. Viktige prinsipper for å sikre realiseringen av målene er etablering av en felles tjenesteleverandør, etablering av ny modell for organisering og styring av IKT-området og regional porteføljestyring og samordning. Utviklingen av Sykehuspartner som felles tjenesteleverandør av ikke-medisinske støttetjenester i foretaksgruppen er et av hovedtiltakene innenfor målområde 4; Organisering og utvikling av fellestjenester. Omstilling av og leveranser fra Sykehuspartner er vurdert som ett område med høy risiko, og området er derfor valgt ut for gjennomgang. Konsernrevisjonen har ut fra dette foretatt en revisjon av prosesser, systemer og rutiner for intern styring og kontroll i Sykehuspartner. Revisjonen har omfattet tjenesteområdene IKT og HR. Innkjøpsområdet er for tiden under videreutvikling og Helse Sør-Øst RHF har startet et prosjekt for å vurdere den fremtidige organisering av området i hele regionen. Området er av denne grunn ikke omfattet av revisjonen. 1.2 Formålet med gjennomgangen Formålet med gjennomgangen har vært å bekrefte om Sykehuspartner har etablert hensiktsmessige og effektive styrings- og kontrolltiltak som gir rimelig sikkerhet for at formålet med Sykehuspartner ivaretas, at oppgaver gitt gjennom overordnede styringsdokumenter og styrets beslutninger gjennomføres og at fastsatte målsettinger for løpende drift og virksomhetsutvikling oppnås. Gjennomgangen har også omfattet styrings- og kontrolltiltak innenfor følgende deler av de HR- og IKTtjenestene som Sykehuspartner leverer til helseforetakene: Deler av lønnsprosessen, der gjennomgangen er utført med utgangspunkt i de tjenesteavtalene som er inngått mellom kunde- og leverandørsiden på lønnsområdet. Gjennomgangen av prosessene innlemmer kundesiden, for å vurdere om de kravene som fremgår av tjenesteavtalene er tilstrekkelig forankret og operasjonalisert på relevante nivåer hos kunden. Undersøkelsene inn mot kundesiden har i første omgang blitt lagt opp rundt deler av virksomheten ved det regionale helseforetaket (RHF et). IKT-prosessen, med fokus på beredskap ved kritiske hendelser innenfor IKT. Gjennomgangen omfatter helseforetaket Oslo Universitetssykehus HF (OUS), og er utført med utgangspunkt i de tjenesteavtalene som er inngått mellom partene på IKT-området. Revisjonen har hatt fokus på om partene har et operativt planverk som tydeliggjør roller, ansvar og oppgaver dersom kritiske hendelser skulle inntreffe, og om det er etablert en felles forståelse av eget ansvar i kritiske situasjoner. Videre har det vært fokus på om planverket er tilstrekkelig testet. Utformet av Konsernrevisjonen Helse Sør-Øst Side 3 av 28

4 1.3 Prosess og metode Gjennomgangen har pågått i tiden fra oktober 2009 til april 2010, og tjenesteområdene ved Sykehuspartner er gjennomgått sekvensielt Oktober November Desember Januar Februar Mars April Mai Juni Planlegging Datainnsamling HR Vurdering/analyse/dialog HR Rapportering og styrebehandling Datainnsamling IKT Vurdering/analyse/dialog IKT Figur 1 Revisjonsprosessen Planlegging Revisjonen er planlagt i dialog med direktør Sykehuspartner, direktørene for tjenesteområdene HR og IKT, tidligere driftsstyreleder VAD IKT i Helse Sør-Øst RHF og administrerende direktør for Helse Sør- Øst RHF. Mandat for gjennomgangen har vært fremlagt for driftsstyret 16. desember Mandatet er etter innspill fra administrerende direktør for Helse Sør-Øst RHF, justert 11. mars 2010 for å sikre at utfordringer knyttet til vurderingene av rolle-, ansvars- og oppgavefordelingen mellom henholdsvis premissgiver, kunde og leverandør (Y-modellen), belyses i gjennomgangen. Datainnsamling Hensikten med datainnsamlingen er å utarbeide beskrivelse av den faktisk tilstand på områdene som er undersøkt. Datainnsamlingen er foretatt gjennom dokumentgjennomgang, elektroniske spørreundersøkelser og intervjuer med ledere og nøkkelpersoner. Nærmere oversikt over informasjonsgrunnlag og gjennomførte samtaler fremgår av kapittel 6. I gjennomgangen har det vært mest detaljert fokus på HRområdet i Sykehuspartner. IKT-området står foran en omfattende reorganisering og samlokalisering høsten 2010, noe som vil medføre endringer både i organisering og ansvars- og oppgavefordeling i forhold til dagens situasjon. Det har derfor ikke vært hensiktsmessig å gå like dypt inn i etablerte strukturer og prosesser på IKT-området som det har vært på HR-området i denne revisjonen. Vurdering/analyse/dialog Faktisk tilstand er vurdert opp mot kriterier basert på rammeverk for intern styring og kontroll og helhetlig risikostyring. For å utdype og sikre riktig forståelse av observasjoner fra dokumentgjennomgang og spørreundersøkelser, er det i tillegg gjennomført samtaler med ledere og nøkkelpersoner både i Sykehuspartner og ved RHFet. Funnene fra gjennomgangen er kommunisert til direktør Sykehuspartner og direktørene for tjenesteområdene i mars og juni Rapportering og styrebehandling Tentativ plan for arbeidet har i så stor grad som mulig vært tilpasset virksomheten i Sykehuspartner. Revisjonskomiteen for Helse Sør-Øst RHF er orientert om status for revisjonen. 1.4 Revisjonsteam Revisjonsteamet har bestått av Kjetil Berg (prosjektleder), Marte Vestengen, Hans Petter Eide, Tove Farstad og Karl-Helge Storhaug (prosjekteier). KPMG har bistått konsernrevisjonen i vurderinger av kriterier for operasjonalisering av Y-modell. Utformet av Konsernrevisjonen Helse Sør-Øst Side 4 av 28

5 1.5 Veiledning til leseren I kapittel 2 gis en kort beskrivelse av Sykehuspartner i dag, herunder omfanget av tjenesteleveransene og omstillingen av Sykehuspartner som gjennomføres for å realisere målene innenfor stabs-/støtteområdet i Strategisk plan for utvikling i Helse Sør-Øst. Beskrivelsene anses å være et viktig bakteppe for å forstå størrelse og kompleksitet for Sykehuspartners virksomhet. I kapittel 3 gjøres det rede for konteksten for revisjonen av Sykehuspartner. Sykehuspartner har relasjoner til eier (Helse Sør-Øst RHF), kundene (helseforetakene) og en rekke underleverandører som alle legger premisser for Sykehuspartners forutsetninger for å kunne ha god intern styring og kontroll med sin virksomhet. I kapittel 4 gjøres det rede for virksomhetsstyringsbegrepet og hvordan internkontroll og risikostyring inngår som forutsetninger for god virksomhetsstyring (kap 4.1). Videre gjøres det rede for hvilke sider ved Sykehuspartners interne styring og kontroll som har vært omfattet av revisjonen (kap 4.2). I kapittel 5 beskrives og drøftes funn fra revisjonen av Sykehuspartner. 2 Sykehuspartner i dag 2.1 Beskrivelse av virksomheten og utfordringsbildet Formål og organisasjon Sykehuspartner er en egen organisatorisk enhet i Helse Sør-Øst RHF, som ble etablert i tidligere Helse Sør i 2003 som en tjenesteleverandør innenfor ikke-medisinske støttetjenester. Sykehuspartner ledes av et driftstyre som er oppnevnt av og underlagt administrerende direktør i RHF et. Sykehuspartners direktør rapporterer til driftsstyret med driftsstyrets leder som nærmeste overordnet. Målet med Sykehuspartner er å tilby mer effektiv drift av støttefunksjoner i helseforetakene, og med riktig kvalitet, samt bidra til at helseforetakene kan holde fokus på sin primære virksomhet pasientbehandling. Sykehuspartner leverer samordnede løsninger og tjenester innen IKT, HR og innkjøp/ logistikk til alle helseforetakene i regionen. Sykehuspartner har hatt en betydelig vekst de seneste årene og er i dag en av nordens største tjenesteleverandører med ca brukere av løsninger og tjenester og med en budsjettert omsetning på ca 1,74 mrd. kroner i Det er for tiden nær 800 ansatte i Sykehuspartner hvorav IKT-området har ca 640 ansatte, HR-området ca 130 ansatte og Innkjøp/logistikk har 15 ansatte. I tillegg er det etablert stabs-/støttefunksjoner under direktøren. Sykehuspartner har hovedkontor i Drammen, men med spredt virksomhet på 25 lokasjoner. IKT-området Sykehuspartner IKT er totalleverandør av IKT-tjenester med en tjenesteportefølje som blant annet omfatter brukerstøtte, drift av utstyr, nettverk og applikasjoner, forvaltning av applikasjoner, i hovedsak systemer for elektronisk pasientjournal (EPJ), prosjektstyring og rådgivning. 1. september 2009 ble rundt 400 IKT-medarbeidere virksomhetsoverdratt fra helseforetakene i tidligere Helse Øst samt Rikshospitalet. Medarbeiderne som ble virksomhetsoverdratt sitter inntil videre på de samme stedene som før og IKTområdet består i dag av 9 enheter som i stor grad sine egne arbeidsprosesser egne støtteverktøy og egen kultur. Fra høsten 2010 er det planlagt iverksatt en omfattende samlokalisering og reorganisering av IKTområdet. Utformet av Konsernrevisjonen Helse Sør-Øst Side 5 av 28

6 HR-området Sykehuspartner HR er i dag lokalisert på 3 steder og leverer et relativt bredt sett av HR-tjenester innenfor hovedområdene lønn og personal, refusjon, elektroniske spørreundersøkelser, rekruttering, samt felles HR kodeverk og personalinformasjon til helseforetakene. I 2004 startet Sykehuspartner arbeidet med å overføre helseforetakene til Helse Sør nye felles lønns- og personalløsning. Overføring av helseforetakene i tidligere Helse Øst ble påbegynt i 2009 i henhold til styresak Dette gjennomføres i regi av AdmHR-prosjektet og avsluttes i løpet av 2010 når de siste lønnsmedarbeidere fra Akershus universitetssykehus, Sykehuset Østfold og Sykehuset Innlandet virksomhetsoverføres til Sykehuspartner. Som følge av dette vil antall ansatte og lokasjoner i Sykehuspartner HR øke i løpet av året. I tillegg til dette arbeider tjenesteområde HR med utrulling av ny regional standard for ressursstyring og arbeidsplanlegging, basert på verktøyet Gatsoft, i helseforetakene. Målbilde og omstillingsutfordringer Det foreligger relativt omfattende beskrivelser som viser Sykehuspartners målbilde og hvilke utfordringer som knytter seg til utviklingen av Sykehuspartners rolle som felles tjenesteleverandør av IKT, lønns- og personaltjenester og merkantil støtte i innkjøpsprosesser for foretaksgruppen. De overordnede målene og føringer for omstillingen fremgår av vedtak i styret for Helse Sør-Øst RHF, jf. sak 058/2007, sak 068/2007, sak 039/2008, sak 67/2008 nr. 3 og sak Omstillingsprogrammet innsatsområde 3.1 IKT etablering av ny felles tjenesteleverandør for IKT. Sykehuspartner skal etter dette omstilles og utvikles til å bli en ledende multifunksjonell tjenesteleverandør for foretaksgruppen i tråd med målene som er fastsatt i strategisk utviklingsplan for foretaksgruppen. De vesentligste utfordringene knyttet til Sykehuspartners rolle som felles tjenesteleverandør er nærmere beskrevet i Virksomhetsutviklingsplan for Sykehuspartner for perioden og tilhørende Handlingsplan for For å nå målsettingen om å bli en profesjonell tjenesteleverandør er Virksomhetsutviklingsprogrammet med tilhørende prosjektorganisasjon etablert i Sykehuspartner, for å gjennomføre de omstillings- og utviklingstiltakene som planene beskriver. I henhold til Virksomhetsutviklingsplanen skal det prioriterte området frem til 2012 være å fokusere på kostnadseffektivitet med riktig kvalitet på tjenester til kundene. Først når dette er på plass skal fokus rettes mot utvidelse av tjenestetilbudet. Hovedutfordringer for Sykehuspartner og tjenesteområdene IKT og HR i tiden fremover kan overordnet skisseres slik; Innenfor hvert av tjenesteområdene IKT og HR skal det sikres stabil og sikker drift av etablerte systemer og tjenester, løpende vedlikehold og videreutvikling av dette, samtidig som det skal opprettholdes leveranser til krevende omstillingsprosjekter som skal understøtte andre målsettinger i strategisk plan som bl.a. samordning av hovedstadsområdet og integrasjon av Oslo universitetssykehus HF og Vestre Viken HF. Sykehuspartner skal omstilles og utvikles til å bli en profesjonell felles tjenesteleverandør gjennom iverksetting av krevende tiltak innenfor organisasjon, teknologi og arbeidsprosesser med videre, jf tiltak i Virksomhetsutviklingsplanen. Innenfor IKT-området skal det i 2010 startes opp en omfattende reorganisering og samlokalisering av virksomheten, herunder bemanningstilpasninger ut fra kompetansebehov. Innenfor HR-området skal utrulling av fellesløsninger i foretaksgruppen i samsvar med fastsatte implementeringsplaner videreføres og virksomhetsoverdragelse av personell gjennomføres som en del av dette. Som ledd i endringene må Sykehuspartner også sikre etterlevelse av lovpålagte krav i utøvelsen av virksomheten og hensynta føringer på nasjonalt nivå som påvirker utviklingen av tjenesteområdene. Sykehuspartner skal, med utgangspunkt i strategiske mål for 2010 og kravene til gevinstrealisering i forbindelse med etableringen av Sykehuspartner, redusere sine driftskostnader med 100 millioner Utformet av Konsernrevisjonen Helse Sør-Øst Side 6 av 28

7 kroner innen budsjettåret 2012 sammenlignet med kostnadsnivået i 2010, jf. sak nr i styret for Helse Sør-Øst RHF. Oppsummert står Sykehuspartner foran betydelige utfordringer der man i tiden fremover både skal opprettholde en stabil og sikker drift, innføre nye fellesløsninger, sikre leveranser til krevende kundeprosjekter, gjennomføre krevende interne utviklings- og omstillingstiltak og redusere sine driftskostnader i samsvar med vedtak fattet av styret. I denne situasjonen er det særlig viktig at det er etablert et tilstrekkelig robust internt system for virksomhetsstyring, som bidrar til å sikre god intern styring og kontroll slik at eiers krav og forventninger til Sykehuspartner oppfylles og leveransene til kundene skjer i henhold til fastsatte avtaler. 3 Kontekst for gjennomgangen I gjennomgangen har hovedfokuset vært på intern styring og kontroll som ledd i Sykehuspartners virksomhetsstyring. Samtidig er det flere forhold ved eiers styring av Sykehuspartner og relasjonene mellom Sykehuspartner og hhv. Helse Sør-Øst RHF (eier), helseforetakene (kunder) og underleverandører, som vil gripe inn i måten Sykehuspartner etablerer og utøver sin interne virksomhetsstyring på. Kunnskap om disse forholdene er viktig som bakteppe for drøftelsene av funn fra revisjonen av Sykehuspartner. Rollefordeling etter Y- modellen Roller, ansvars- og oppgavefordeling mellom Helse Sør-Øst RHF, Sykehuspartner og helseforetakene er organisert etter en Y-modell. Modellen er basert på prinsipper om rolle-, ansvars- og oppgavedeling mellom tre parter, og som etablerer grenseflater seg imellom for å planlegge, gjennomføre, kontrollere og korrigere tjenesteutvikling og leveranser. Operasjonaliseringen av modellen er i prinsippet lik innenfor alle tjenesteområdene til Sykehuspartner. Eier (premissgiver) Sykehuspartner (leverandør) Underleverandører Helseforetak (kunde) Figur 2 Sykehuspartner og omgivelsene Premissgiverrollen skal realiseres i et samspill mellom det regionale helseforetaket og helseforetakene. Det er lagt opp til en deling av fokus for IKT-ledelsen ved RHF et og helseforetakene, der man sentralt ivaretar koordineringen av premissgiverrollen og operasjonalisering av felles styring og organisering på vegne av Helse Sør-Øst RHF for å sikre vedtatt standardisering, felles prioritering og styring. RHF et vil i tillegg ta et mer operasjonelt ansvar for administrative fellessystemer. Dette innebærer at helseforetakenes primærfokus skal være på kliniske systemer og prosesser. Utformet av Konsernrevisjonen Helse Sør-Øst Side 7 av 28

8 Konsernrevisjonens gjennomgang av etablering av nye Sykehuspartner som felles IKT tjenesteleverandør som ble gjennomført i 2009, viste at det fortsatt gjensto et arbeid for å sikre gjensidig forståelse og operasjonalisering av Y-modellen. Dette bildet har i liten grad endret seg, og det er et omforent bilde av at premissgiverrollen ikke er tilstrekkelig utviklet og beskrevet. Videre at dette innvirker negativt på styring av tjenesteområdene IKT og HR i foretaksgruppen både ut fra kundenes og eiers side. Gjennomgangen har vist at tjenesteområdet IKT er kommet lengre i arbeidet med å etablere permanente arenaer og prosesser for styring av tjenesteområdet, bruk av avtaleverk og styringsdokumenter m.v., enn det er innenfor HR-området, hvor dette foreløpig er håndtert i regi av AdmHR-prosjektet. Premissgiverfunksjonen er imidlertid ikke tilstrekkelig utviklet innenfor noen av områdene. Dette gjelder først og fremst hvordan premissgivningen i styringsrelasjonen mellom RHFet som eier og helseforetakene som kunder utøves og forankres i styrende dokumenter og foretaksmøter. Gjennomgangen har vist at dette fører til at enkelte oppgaver som ligger til premissgiver i praksis ivaretas av Sykehuspartner i samhandlingsrelasjonen Sykehuspartner og kunder. Eksempler: Innenfor HR-området har gjennomgangen bl.a. vist at det kan oppstå diskusjoner mellom Sykehuspartner og helseforetakene om tjenesteprisingen. Diskusjonene gjelder både prismodell og kostnadskomponenter. Tilsvarende oppstår typisk når det gjelder nasjonale HR-indikatorer og regionale standarder for eksempel i kodeverk i lønnssystemet. Videre er det ofte diskusjoner mellom partene når det gjelder ansvarsdeling (tjenestedeling) med hensyn til hvilke oppgaver som skal utføres av Sykehuspartner og hvilke som skal uføres av helseforetakene selv. I slike situasjoner er det etter konsernrevisjonens vurdering premissgiver som bør sørge for at nødvendige avklaringer foretas og at foretakene løpende forpliktes. Innenfor IKT-området har gjennomgangen vist at det kan oppstå diskusjoner om hvordan ressurser skal prioriteres for ulike prosjekter og oppdrag, for eksempel i forhold til prosjekter i Sykehuspartner i forhold til IKT-prosjekter i helseforetakene (først og fremst ved Oslo universitetssykehus HF og Vestre Viken HF). Videre kan det oppstå diskusjoner rundt valgte sikkerhetsløsninger for IKT-drift og den tjenesteprisen som helseforetakene må betale for dette. Etter konsernrevisjonens vurdering bidrar dette til å skape usikkerhet om hvilken rolle Sykehuspartner faktisk har, noe som igjen gjøre det vanskeligere å forankre ansvars- og oppgavefordelingen mellom partene. Når Sykehuspartner må ivareta denne form for oppgaver, fører det samtidig til at ressurser trekkes bort fra intern drift og fokus på leveranser til kundene. Svak premissgivning har også konsekvenser for forankring av krav og føringer i styrene og ledelsene ved HFene. Det har også konsekvenser for hvilke forhold som bør behandles i premissgiverfora fremfor å bli gjenstand for behandling i kontraktsforholdet mellom Sykehuspartner og kundene alene. Eksempler på dette er prioritering av ressurser, lokale lønnsoppgjør/avtaler med videre. Gjennom arbeidet med revisjonen av Sykehuspartner i 2010 har konsernrevisjonen flere observasjoner som viser at Sykehuspartners forutsetninger for å kunne oppfylle sitt formål i stor grad påvirkes av premissgiverrollen. Tydeliggjøring av oppgaver som skal ivaretas av hhv. Sykehuspartner og eier, og ikke minst hvilke arenaer styringen skal utøves er derfor særlig viktig å få på plass. Konsernrevisjonen har registrert at Helse Sør-Øst RHF har satt i verk et arbeid med å risikovurdere oppgave- og ansvarsfordeling mellom RHFet og Sykehuspartner, samt utarbeidelse av avtaledokumenter mellom RHFet og Sykehuspartner. Konsernrevisjonen har lagt til grunn at disse tiltakene vil bidra til bedre styring og oppgaveløsning for partene i Y-modellen. Utformet av Konsernrevisjonen Helse Sør-Øst Side 8 av 28

9 4 Virksomhetsstyring, internkontroll og risikostyring 4.1 Sammenhengen mellom internkontroll og virksomhetsstyring Med virksomhetsstyring menes de prosessene og aktivitetene som gjennomføres for å sette interne mål, definere oppgaver og aktiviteter for å oppfylle målene, å måle resultater mot målene og bruk av informasjonen til å ha styring, kontroll og læring for å utvikle og forbedre sin interne virksomhet. Virksomhetsstyring brukes her om Sykehuspartners interne styring og oppfølging av oppgaver som skal gjennomføres for å levere tjenester til helseforetakene som er i samsvar med inngåtte tjenesteavtaler, og for å oppfylle styringskrav som Helse Sør-Øst RHF som eier setter for Sykehuspartners virksomhet. Virksomhetsstyring - mål- og resultatstyring som styringsprinsipp Lov- og regelverk Korrigere Planlegge Styrevedtak Krav og føringer Oppdrags/ bestillingsdokument Følge opp/ rapportere Gjennomføre/ måle Figur 3 Virksomhetsstyringshjulet En forutsetning for effektiv styring er etablering og gjennomføring av internkontroll (intern styring og kontroll) i virksomheten som kan bidra til å forhindre styringssvikt, feil og mangler. Med intern styring og kontroll menes prosesser, systemer og rutiner som er igangsatt av ledelse og ansatte for å gi rimelig sikkerhet for at Sykehuspartner har en målrettet og effektiv drift, rapporterer pålitelig styringsinformasjon og etterlever lover og regler. Et sentralt prinsipp er at den interne kontrollen skal tilpasses virksomhetens risiko og egenart. Å fastsette et tilstrekkelig og hensiktmessig opplegg for intern styring og kontroll forutsetter derfor at det gjennomføres prosesser for å identifisere, prioritere og håndtere risiko, dvs. risikostyring. Til grunn for definisjoner og kriterier for å vurdere innholdet i intern styring og kontroll, ligger anerkjente rammeverk for internkontroll 1 og helhetlig risikostyring 2. I et helhetlig opplegg for intern styring og kontroll inngår 4 hovedelementer (figur 4). 1 Intern kontroll et integrert rammeverk, Committee of Sponsoring Organizations of the Treadway Commission (COSO), Helhetlig risikostyring - et integrert rammeverk (COSO ERM), Committee of Sponsoring Organizations of the Treadway Commission (COSO)/Norges Interne Revisorers Forening (NIRF), Utformet av Konsernrevisjonen Helse Sør-Øst Side 9 av 28

10 Intern styring og kontroll - en forutsetning for god virksomhetsstyring Oppfølging/korrigering Tiltak for å ha styring og kontroll Etablering av målsettinger og risikostyring Styrings- og kontrollmiljø Risikostyring - metode for å identifisere/håndtere risiko Etablere målsettinger Identifisere risiko Vurdere/prioritere risiko Fastsette tiltak for å håndtere risiko Figur 4 Sammenhengen mellom internkontroll og risikostyring Elementene henger innbyrdes sammen og må ses i relasjon til hverandre i arbeidet med å utvikle og forbedre intern styring og kontroll som ledd i virksomhetsstyringen. Intern styring og kontroll er en kontinuerlig prosess som gjennomsyrer virksomheten, og utføres av mennesker på alle nivåer i organisasjonen, dvs. styre, ledelse og ansatte. Intern styring og kontroll anvendes på tvers av virksomheten, på alle nivåer og i alle enheter, i tillegg til virksomheten som helhet. Intern styring og kontroll gir viktige fordeler, men det finnes også begrensninger. Det oppstår begrensninger pga. at menneskelig dømmekraft i forbindelse med beslutningstaking kan være mangelfull, og at risikohåndtering og etablering av kontroller må etableres ut fra en kost-/nytteverdi. Videre kan det oppstå feilsituasjoner som følge av menneskelig svikt (ubevisste feil), og kontroller kan også omgås gjennom samarbeid mellom to eller flere ansatte (bevisste feil). Ledelsen har også mulighet til å overstyre beslutninger tatt i forbindelse med helhetlig risikostyring. Nevnte begrensninger vil forhindre styret og ledelsen i å ha absolutt sikkerhet med hensyn til virksomhetens måloppnåelse. 4.2 Internkontrollfaktorer som er omfattet av revisjonen Konsernrevisjonen har foretatt en systematisk gjennomgang av et utvalg sentrale faktorer som er knyttet til hvert av elementene som inngår i et helhetlig opplegg for intern styring og kontroll. Med utgangspunkt i disse faktorene er det gjort en helhetlig vurdering av systemene og prosessene i virksomhetsstyringen i Sykehuspartner. De utvalgte faktorene er illustrert i figur 5 (neste side). Utformet av Konsernrevisjonen Helse Sør-Øst Side 10 av 28

11 Intern styring og kontroll - Internkontrollfaktorer som er undersøkt - Holdninger til styring og kontroll - Organisering - Rolle-, ansvars- og myndighetsfordeling - Kompetanse og ressurser Figur 5 Internkontrollfaktorer som er undersøkt Tiltak for å ha styring og kontroll Etablering av målsettinger og risikostyring Styrings- og kontrollmiljø - Oppfølging av om tiltak for å ha styring og kontroll virker som - Tjenesteavtaler og leverandøravtaler - Utvalgte forutsatt arbeidsprosesser - Evalueringer - Retningslinjer/ - Iverksettelse av Oppfølging/korrigering korrektive tiltak rutinebeskrivelser - Informasjon/ kommunikasjon/ samhandling - Målsettinger for utvikling og drift av Sykehuspartner - Identifikasjon, vurdering og håndtering av risiko 5 Funn fra gjennomgangen 5.1 Innledning risiko- og vesentlighetsbetraktninger Som vist til i pkt 2.2, har konsernrevisjonen foretatt en systematisk gjennomgang av et utvalg sentrale faktorer som er knyttet til hvert av elementene som inngår i et helhetlig opplegg for intern styring og kontroll. I gjennomgangen er det gjort 59 observasjoner som fordeler seg slik: 15 forhold hvor tilstanden vurderes å være ok (markert grønt i tabellene) 39 forhold hvor det er identifisert rom for forbedringer og hvor tiltak bør vurderes (gul) 5 forhold hvor det er identifisert svakheter hvor tiltak er nødvendig (rød). De grønne forholdene er positive bekreftelser hvor tilstanden vurderes å være tilfredsstillende på tidspunktet for gjennomføringen av revisjonen. De gule forholdene gjelder intern styring og kontroll som bør utvikles og forbedres for å sikre målrettet og effektiv drift, pålitelig rapportering av styringsinformasjon og etterlevelse av lover og regler. Forbedringsområdene er knyttet til systemer og prosesser for overordnet planlegging av drifts- og utviklingsaktiviteter på tvers av tjenesteområdene, samt for oppfølging og rapportering av den samlede virksomheten som utøves til driftsstyre og eier. De røde forholdene er etter konsernrevisjonens vurdering nøkkelrisiko som i vesentlig grad innvirker på Sykehuspartners forutsetning for å kunne ha effektiv drift, levere i henhold til tjenesteavtaler og kunne oppfylle sitt formål. I fortsettelsen er observasjonene belyst for Sykehuspartner samlet, og for hvert av tjenesteområdene HR og IKT. Utformet av Konsernrevisjonen Helse Sør-Øst Side 11 av 28

12 5.2 Styrings- og kontrollmiljø Styrings- og kontrollmiljøet setter tonen for arbeidet med intern styring og kontroll i virksomheten. Det danner grunnlaget for de øvrige elementene som inngår i et helhetlig system for intern styring og kontroll, og har således en sterk innvirkning på om arbeidet med intern styring og kontroll og risikostyring blir effektivt. Styrings- og kontrollmiljøet består av flere faktorer 3, hvorav det i denne revisjonen er satt fokus på: holdninger knyttet til styring og kontroll organisering, ansvars- og myndighetsfordeling ressurser og kompetanse Holdninger knyttet til styring og kontroll Holdningene som den øverste ledelsen uttrykker i forhold til å ville ha god styring og kontroll med virksomheten, er en viktig forutsetning for effektiv intern styring og kontroll. Holdningene må tydelig gjenspeiles i kommunikasjonen av målsettinger og krav/rammer som virksomheten skal bygge på. Gjennomgangen har vist at det er fokus på å sette i verk vedtak fattet av styret i Helse Sør-Øst RHF og driftsstyret. Det er også gjennomgående en sterk vilje til å sikre at tjenesteområdene HR og IKT har en god oppgaveløsning, herunder at levering av tjenester til kundene skjer i samsvar med inngåtte tjenesteavtaler og at vedtatte planer for utrulling av fellesløsninger i foretaksgruppen iverksettes som forutsatt. Gjennomgangen har samtidig vist at ledelsens fokus på helhetlig virksomhetsstyring generelt kan styrkes. Dette gjelder særlig i forhold til å iverksette interne prosesser for å tydeliggjøre og forankre mål- og resultatkrav som omfatter både løpende drift og omstilling/utvikling i en felles virksomhetsplan for Sykehuspartner, iverksette prosesser for få på plass helhetlig risikostyring, fastsette den interne kontrollen med utgangspunkt i risikobildet og benytte dette som grunnlag for oppfølging og rapportering av et samlet risikobilde internt og i forhold til den løpende rapporteringen til driftsstyret. Dette vil gi både ledelsen i Sykehuspartner og driftsstyret et godt utgangspunkt for å kunne ha et proaktivt forhold til risiko i en krevende omstillings- og utviklingsfase der også den løpende driften skal opprettholdes med tilstrekkelig kvalitet, samt ha et tilstrekkelig grunnlag til å kunne iverksette korrigerende tiltak på de områder der risikobildet tilsier at dette er nødvendig. Dette er også nærmere beskrevet i etterfølgende punkter i rapporten Rolle-, ansvars- og myndighetsfordeling Fordeling av ansvar og myndighet forutsetter at det foreligger et delegasjonsreglement og interne retningslinjer, rutiner og/eller avtaler som beskriver roller, oppgaver, ansvar og myndighet. Myndighet må være tilpasset ledernes resultatansvar. Et viktig prinsipp er at det må være samsvar mellom tildelt ansvar og den myndighet som gis. Det bør derfor være sammenheng mellom budsjettdisponeringsmyndigheten, anvisnings- og bestillingsfullmakter og det daglige personalansvaret. Fullmaktene må ivareta grunnleggende krav til intern styring og kontroll. Fordeling av ansvar og myndighet, herunder systemene for å forvalte og holde oversikt over alle fullmakter i foretaket, må være konsistente med de nye retningslinjene for fullmakter som er fastsatt for foretaksgruppen. 3 Etter COSO-rammeverket består styrings- og kontrollmiljøet av følgende faktorer: Integritet og etiske verdier, ledelsesfilosofi/-verdier og holdning til styring og kontroll, organisering, ansvars- og myndighetsfordeling og kompetanse. Utformet av Konsernrevisjonen Helse Sør-Øst Side 12 av 28

13 Intern ansvars- og oppgavefordeling Gjennomgangen har vist at det i hovedsak er god oversikt over ansvars- og oppgavefordelingen innenfor IKT-området pr i dag. Gjennom reorganiseringen av tjenesteområdet som starter opp høsten 2010, må imidlertid endringer i ansvars- og oppgavefordelingen tydeliggjøres og kommuniseres i ny organisasjon. Gjennomgangen har vist at det innenfor virksomhetsutviklingsarbeidet er planlagt aktiviteter for å sikre at dette blir gjort. Innenfor tjenesteområdet HR har gjennomgangen vist at det i noen grad er uklare ansvarsområder mellom avdelingene og internt i avdelingene, og at dette særlig kommer til uttrykk mellom områdene lønn og refusjon. Arbeidsoppgaver oppleves i hovedsak å være tydelig definert, men oppleves som uklart av enkelte. Særlig gjelder dette personell som er virksomhetsoverdratt fra helseforetakene. HR drift har igangsatt flere aktiviteter internt for bl.a. å tydeliggjøre ansvarsdelingen mellom avdelinger og team, samt for å samle rutiner og arbeidsprosesser for å gjøre disse mer tilgjengelige for de ansatte. Innenfor begge tjenesteområdene opplever enkelte ansatte at de ikke er delegert myndighet til å fatte beslutninger innenfor de oppgaver de har ansvaret for. Etter konsernrevisjonens vurdering bør det innenfor hvert enkelt av tjenesteområdene foretas en samlet gjennomgang av ansvars- og oppgavefordeling, slik at det sikres at denne er tydelig og godt kjent for samtlige. Instrukser og fullmakter Sykehuspartner er en egen organisatorisk enhet i Helse Sør-Øst RHF og inngår som en del av den alminnelige linjeledelsen. Det juridiske og økonomiske ansvaret for Sykehuspartner ligger således hos administrerende direktør i Helse Sør-Øst RHF. Organisering som enhet med driftsstyre medfører ikke noen endring fra de lovfastsatte ansvarsforhold, og driftsstyret inngår som del av en alminnelig linjeledelse. Sykehuspartner er en egen resultatenhet. Det stilles samme krav til resultat og effektiv drift som Helse Sør-Øst RHF stiller til sine underliggende helseforetak. Gjennomgangen har vist at instruks for Sykehuspartner er ajourført i februar 2010 og omfatter ansvar, fullmakter og oppgaver for både leder av Sykehuspartner og driftsstyret. Administrerende direktør i Helse Sør-Øst har i fullmaktsskriv datert 19. april 2010, presisert driftsstyrets fullmakter innenfor de generelle fullmaktsrammer som fremgår av gjeldende instruks for Sykehuspartner. Driftstyret har videredelegert denne fullmakten til direktør for Sykehuspartner, jf sak nr i driftstyret. Gjennomgangen har også vist at utkast til intern fullmaktsstruktur for Sykehuspartner er utarbeidet, men ikke avstemt mot retningslinjer for fullmakter i Helse Sør-Øst eller forelagt driftstyret for formell godkjenning. Konsernrevisjonen anbefaler at Sykehuspartner gjennomgår de interne fullmaktene for å sikre at disse er i samsvar med retningslinjer for fullmakter i Helse Sør-Øst. Fullmaktsstrukturen må legges frem for driftstyret for godkjenning Ressurser og kompetanse Som del av et tilfredsstillende styrings- og kontrollmiljø, bør det være definerte krav til kompetanse og planer for utvikling og vedlikehold av kompetanse. Videre bør det være klar sammenheng mellom aktivitetsnivå og ressurser for å kunne ivareta planlagte aktiviteter og oppgaver. Gjennomgangen har vist at tjenestesområdene i dag har ressurser til å sikre leveranser i henhold til inngåtte tjenesteavtaler og opprettholde leveranser til krevende omstillingsprosjekter hos kundene og utrulling av Utformet av Konsernrevisjonen Helse Sør-Øst Side 13 av 28

14 fellestjenester i henhold til fastsatte planer. Parallelt med dette har Sykehuspartner påbegynt arbeidet med omstillings- og utviklingstiltak innenfor det vedtatte virksomhetsutviklingsprogrammet. I utgangspunktet gir dette en sårbar situasjonen, og det er etter konsernrevisjonens syn viktig at det holdes sterkt fokus på ressursutfordringene, og at det fortløpende sikres at løpende driftsoppgaver knyttet til tjenesteleveransene opprettholdes på et nivå som er i samsvar med avtaler som er inngått. Innenfor tjenesteområdet IKT har gjennomgangen vist at det er stor avhengighet til personer med nøkkelkompetanse innen enkelte fagområder og/eller støtteverktøy. Gjennom virksomhetsutviklingsprosjektet er det påpekt et varierende kompetansenivå, hvor det er god helsefaglig kompetanse, men samtidig mangler i forhold til arkitektur- og bredere tjenestekompetanse. Som en forberedelse til reorganisering og samlokalisering skal det gjennomføres en kompetansekartlegging blant de ansatte på IKT-området i løpet av Etter konsernrevisjonens syn er det viktig at Sykehuspartner treffer tiltak for å redusere risiko for tap av personell med nøkkelkompetanse. Innenfor HR-området er det påpekt risiko knyttet til å ha nok ressurser til å ivareta brukerstøtte for det nye ressurs- og arbeidsplansystemet (RAPS) som er under innføring i helseforetakene. Samtidig er det eksempler på diskusjoner med helseforetakene med hensyn til hva som skal beholdes av lokal brukerstøtte på området, og hvilke oppgaver som Sykehuspartner skal ivareta i en brukerstøttefunksjon for verktøyet. Etter konsernrevisjonens vurdering bør det iverksettes tiltak for å sikre at ansvars- og oppgavedelingen mellom helseforetakene og Sykehuspartner for ivaretakelse av brukerstøtte for det nye ressurs- og arbeidsplansystemet (RAPS) avklares, slik at brukerstøttesapparatet kan dimensjoneres med utgangspunkt i dette. Gjennomgangen har vist at Sykehuspartner har etablert et hensiktsmessig opplegg for å ta i mot, lære opp og sette nye medarbeidere som er virksomhetsoverdratt fra helseforetakene i stand til å ivareta sine oppgaver. Enkelte ansatte oppgir at de ikke har tilstrekkelig kunnskap til å løse oppgaver som de har ansvaret for, jf. beskrivelse av funksjonelle tjenester i tjenesteavtalene. Samtidig har gjennomgangen vist at det for begge tjenesteområdene er utfordringer knyttet til å sette av tilstrekkelig tid til kompetanseheving for de ansatte i en hektisk hverdag. For stabs-/støttefunksjonene i Sykehuspartner er det en utfordring å ha tilstrekkelig personellressurser til å håndtere krevende oppgaver knyttet til økonomi- og virksomhetsstyring. Gjennomgangen har videre vist at de ansatte på HR-området har relativt god kjennskap til både innholdet i interne planer og lover- og regelverk som er relevante for egne arbeidsoppgaver. På IKTområdet er det imidlertid mangelfull kjennskap til planer som angir mål, ansvar og oppgaver for tjenesteområdet, samt mangelfull kjennskap til lover- og regelverk som er relevante for egne arbeidsoppgaver. For begge tjenesteområdene er det lite kjennskap til vedtak fattet av henholdsvis styret for det regionale helseforetaket og driftsstyret. Etter konsernrevisjonens syn bør det iverksettes tiltak for å styrke systemene for løpende kompetanseplanlegging og vedlikehold, slik at dette endres/tilpasses nye Sykehuspartners behov. Videre bør det iverksettes kompetanseutviklingstiltak knyttet til lovverk, innhold i leverandøravtaler og tjenesteavtaler, samt sette av nok tid til kompetanseutvikling for de ansatte. Utformet av Konsernrevisjonen Helse Sør-Øst Side 14 av 28

15 5.2.4 Tabell oppsummering av observasjoner internt styrings- og kontrollmiljø IK-faktor Observasjoner Verdier og holdninger knyttet til god virksomhetsstyring Oppgave-, ansvars- og myndighetsfordeling Ressurser 4 og kompetanse Generelt Sterkt fokus på at levering av tjenester til kundene skjer i samsvar med inngåtte tjenesteavtaler, at vedtatte planer for utrulling av fellesløsninger i foretaksgruppen gjennomføres som forutsatt og at leveranser inn i krevende kundeprosjekter skjer i henhold til fastsatte planer. Videre - fokus på at vedtak fattet av styret for Helse Sør- Øst RHF og driftsstyret etterleves og at Sykehuspartner videreutvikles som Sykehuspartner utvikles til å bli en profesjonell felles tjenesteleverandør, jf. tiltak i regi av virksomhetsutviklingsprosjektet. Ikke tilstrekkelig fokus på krav til system for virksomhetsstyring som omfatter alle tjenesteområder og stabs-/støttefunksjoner i Sykehuspartner. Generelt I hovedsak god oversikt over oppgavene som tjenesteområdene har ansvaret for og hvem som har ansvaret for disse oppgavene i dag, men bildet kan endres i forbindelse med omstillingsaktiviteter som Sykehuspartner skal gjennomføre i Instruks for Sykehuspartner er ajourført i 2010 og driftsstyrets fullmakter og delegering av styrets fullmakt til direktør Sykehuspartner er behandlet i driftsstyremøte 30. april Interne fullmakter i Sykehuspartner er utarbeidet, men ikke avstemt mot retningslinjer for fullmakter i Helse Sør-Øst. Fullmaktene er ikke formelt godkjent av driftsstyret. Enkelte ansatte innenfor tjenesteområdene HR og IKT opplever at de ikke er delegert myndighet til å fatte beslutninger innenfor de oppgaver de er gitt ansvar for. HR-området I noen grad uklare ansvarsområder mellom avdelingene/internt i avdelingene - særlig mellom lønn og refusjon. Arbeidsoppgaver er i hovedsak tydelig definert, men oppleves av enkelte ansatte som uklare. Generelt Sykehuspartner er sårbar med hensyn til ressurser som både skal håndtere løpende driftsoppgaver og utviklings-/omstillingstiltak. Det er en utfordring å ha tilstrekkelig personellressurser til å håndtere virksomhets- og økonomistyring i stabs-/støttefunksjonen. HR-området Relativt god kjennskap til innholdet i interne planer blant de ansatte. Relativt god kjennskap til lover- og regelverk som er relevante for egne arbeidsoppgaver Mangelfull kjennskap til vedtak fattet av hhv styret for RHF et og driftsstyret blant de ansatte Behov for avklaring av ressursbehov for å kunne ivareta brukerstøtte for RAPS/GatSoft i Sykehuspartner. Uklarheter i ansvars- og oppgavedelingen mellom helseforetakene og Sykehuspartner for ivaretakelse av brukerstøtten for det nye ressurs- og arbeidsplansystemet. IKT-området Avhengighet til personer med nøkkelkompetanse innen enkelte fagområder/iktverktøy. Utfordringer knyttet til kompetanse- og bemanningstilpasninger i forbindelse med reorganisering og samlokalisering. Mangelfull kjennskap til lover- og regelverk som er relevante for egne arbeidsoppgaver Mangelfull kjennskap til planer som angir mål/ansvar/ oppgaver for tjenesteområde IKT Liten kjennskap til vedtak fattet av hhv styret for RHF et og driftsstyret blant de ansatte OK Tiltak bør iverksettes Tiltak nødvendig 4 Ressurser inngår ikke som eksplisitt faktor i styrings- og kontrollmiljøet, men er her sett i sammenheng med faktoren kompetanse. Utformet av Konsernrevisjonen Helse Sør-Øst Side 15 av 28

16 5.2.5 Samlede anbefalinger knyttet til det interne styrings- og kontrollmiljø Iverksette prosesser i Sykehuspartner for å videreutvikle og forankre et helhetlig system for virksomhetsstyring som ivaretar alle elementene i en prosess for god virksomhetsstyring Innenfor hvert enkelt av tjenesteområdene bør det foretas en samlet gjennomgang av ansvars- og oppgavefordeling, slik at det sikres at denne er tydelig og godt kjent. Det bør foretas en gjennomgang av interne fullmakter for å sikre at disse er i samsvar med retningslinjer for fullmakter i Helse Sør-Øst. Fullmaktsstrukturen må legges frem for driftstyret for godkjenning. Det bør holdes sterkt fokus på ressurs- og kompetanseutfordringene, og fortløpende sikres at løpende driftsoppgaver knyttet til tjenesteleveransene og leveranser til kundeprosjekter opprettholdes på et nivå som er i samsvar med avtaler som er inngått. Det bør treffes tiltak for å redusere risiko for tap av personell med nøkkelkompetanse. Iverksette tiltak for å sikre at ansvars- og oppgavedelingen mellom helseforetakene og Sykehuspartner for ivaretakelse av brukerstøtte for det nye ressurs- og arbeidsplansystemet (RAPS) avklares, slik at brukerstøttesapparatet kan dimensjoneres med utgangspunkt i dette. Det bør iverksettes tiltak for å styrke systemene for løpende kompetanseplanlegging og vedlikehold, slik at dette endres/tilpasses nye Sykehuspartners behov. Videre bør det iverksettes kompetanseutviklingstiltak knyttet til lovverk, innhold i leverandøravtaler og tjenesteavtaler, samt sette av nok tid til kompetanseutvikling for de ansatte. 5.3 Etablering av målsettinger og risikostyring For å kunne evaluere risikoer knyttet til måloppnåelse, pålitelig styringsinformasjon og etterlevelse av lovog regelverk, er det en forutsetning at det er etablert klare mål for virksomheten. De overordnede målene bør være systematisert ut fra krav og føringer i lovgivningen, bestillings- og oppdragsdokument og styrevedtak. Videre bør de være tydelig ansvarsplassert internt i Sykehuspartner, samtidig som det gis klare føringer for hvordan og når tjenesteområdene og staben skal ha operasjonalisert målsettinger som ledd i egen planlegging av virksomheten. Arbeidet med risikovurdering og risikostyring vil være en del av de ordinære prosesser relatert til ledelse og styring av virksomheten, og det er derfor vesentlig at dette arbeidet er forankret i ledelsen. Risikostyringen omfatter tre hovedaktiviteter; identifisering av risiko, risikovurdering og håndtering av risiko. I disse aktivitetene ligger at Sykehuspartner har implementert risikostyring i løpende styring og oppfølging av sin virksomhet, at risikostyringen gjennomføres både på stabsnivå, tjenesteområdene og overordnet, aggregert for Sykehuspartner, at identifiserte risikoer vurderes og prioriteres, samt at det settes i verk tiltak for å håndtere dem Etablering av målsettinger Det foreligger i dag ikke et dokument som tydeliggjør det regionale helseforetakets (eiers) samlede årlige krav til Sykehuspartner. Helse Sør-Øst RHF har imidlertid satt i gang et arbeid for å utvikle og implementere styringsdokumenter som tydeliggjør det samlede oppdrag fra eier til Sykehuspartner. Gjennom dette vil en dermed få på plass et grunnlag for langsiktig plan og en årlig bestilling som fastsetter mål- og resultatkrav for løpende drift og utvikling for hvert av tjenesteområdene og for Sykehuspartner samlet. Styret i Helse Sør-Øst RHF har bedt om (jf. sak nr. 007/2010) at virksomhetsstyringen av Sykehuspartner skal beskrives og videreutvikles i løpet av Dette arbeidet er igangsatt og som en del av dette skal det etableres en flerårlig rammeavtale som bl.a. regulerer overordnede strategiske føringer, og et årlig oppdragsdokument som fastsetter krav til Sykehuspartner med utgangspunkt i strategiske mål, økonomiske føringer og overordnede krav til leveranser innenfor de ulike tjenesteområdene med videre. Utformet av Konsernrevisjonen Helse Sør-Øst Side 16 av 28

17 Det foreligger heller ikke en årlig virksomhetsplan internt i Sykehuspartner som omfatter drifts- og utviklingsoppgaver for hele Sykehuspartner inkludert stabs-/støttefunksjoner. Tjenesteområdene HR og IKT har utarbeidet virksomhetsplaner (2009) for sine respektive områder med utgangspunkt i bl.a. strategiske føringer for hvert av tjenesteområdene, men planene aggregeres ikke opp til en samlet plan for hele Sykehuspartner. Konsernrevisjonen anbefaler at det iverksettes interne prosesser for å utarbeide en samlet årlig virksomhetsplan for Sykehuspartner, med utgangspunkt i det årlige oppdrags- og bestillingsdokumentet fra eier og krav som følger av tjenesteavtaler. Innholdet i planen må forankres hos alle ansatte Risikostyring Gjennomgangen har vist at risikostyring er godt integrert som del av styringen av prosjektene i virksomhetsutviklingsarbeidet. Helhetlig risikostyring som integrert del av intern styring og oppfølging er ikke innført for løpende driftsog basisoppgaver i Sykehuspartner. I en fase der Sykehuspartner både skal opprettholde en stabil og sikker drift, innføre nye løsinger og utvikle eksisterende tjenester samt gjennomføre krevende og utviklings- og omstillingsoppgaver med videre, er det viktig at det er etablert prosesser for identifisering, vurdering, prioritering og håndtering av risiko i forhold til den løpende driften. Dersom risikostyring integreres i den løpende styringen og ikke etableres på utsiden av styringssystemet som en selvstendig prosess, vil det kunne utgjøre et kraftfullt virkemiddel for kommunikasjon av risiko og bevisstgjøring av toleransegrenser for risiko i forhold til de respektive mål som er satt for Sykehuspartner. Dette vil kunne brukes både internt i Sykehuspartner og i forhold til den løpende rapportering til driftsstyret. Systematisk bruk av risikostyring kan bidra til å sikre måloppnåelse, regeletterlevelse og riktig rapportering. Etter konsernrevisjonens syn bør det arbeides med å innføre risikostyring som en integrert del av intern styring av oppfølging for løpende drifts- og basisoppgaver i Sykehuspartner for alle tjenesteområder og stabs-/støttefunksjoner. Tabell oppsummering av observasjoner etablering av målsettinger og risikostyring IK-faktor Observasjoner Etablering av målsettinger Risikostyring Generelt Høy fokus leveranse av tjenester til kundene i samsvar med inngåtte tjenesteavtaler. Key Performance Indicators (KPI er) benyttes som grunnlag for oppfølging av tjenesteområdene. Handlingsplan med strategisk og operativt fokus på utvikling av Sykehuspartner som felles tjenesteleverandør er utarbeidet (Virksomhetsutviklingsplan). Det er ikke utarbeidet en årlig virksomhetsplan for Sykehuspartner som omfatter driftsog utviklingsoppgaver for hele Sykehuspartner inkludert stabs-/støttefunksjoner Tjenesteområdene HR og IKT har utarbeidet virksomhetsplaner (2009) for sine respektive områder med utgangspunkt i strategiske føringer for hvert av tjenesteområdene, men planene aggregeres ikke opp til en samlet plan for hele Sykehuspartner Det er ikke utarbeidet årlig virksomhetsplan for stabs-/støtte funksjoner Generelt Helhetlig risikostyring som integrert del av intern styring og oppfølging er ikke innført for løpende drifts-/basisoppgaver i Sykehuspartner OK Tiltak bør iverksettes Tiltak nødvendig Samlende anbefalinger knyttet til etablering av målsettinger og risikostyring Det bør iverksettes interne prosesser for å utarbeide en samlet årlig virksomhetsplan for Sykehuspartner, med utgangspunkt i det årlige oppdrags- og bestillingsdokumentet fra eier og krav som følger av tjenesteavtaler. Virksomhetsplanen bør omfatte alle tjenesteområdene og stab- Utformet av Konsernrevisjonen Helse Sør-Øst Side 17 av 28