Rapport Revisjon ledelsens gjennomgåelse risikovurdering Sykehuset Asker og Bærum HF

Transkript

1 Rapport Revisjon ledelsens gjennomgåelse risikovurdering Sykehuset Asker og Bærum HF Internrevisjonen Helse Øst

2 Rapport nr Revisjonsperiode November desember 2006 Virksomhet Rapportmottaker Kopi Rapportavsender Oppdragsgiver Revisor Sykehuset Asker og Bærum HF Administrerende direktør Sykehuset Asker og Bærum HF Administrerende direktør Helse Øst RHF Kontrollkomiteen Helse Øst RHF Internrevisjonen Helse Øst Styret i Helse Øst RHF v/styreleder Internrevisor Karl-Helge Storhaug, Helse Øst RHF Leder internrevisjon Liv Todnem, Helse Øst RHF Innhold 1. Innledning Bakgrunn, formål og målsetninger Metode og vurderingskriterier Resultatet av revisjonen Innholdet i Ledelsens gjennomgåelse Oppsummering og konklusjon Anbefalinger til helseforetaket Vedlegg Innhentet informasjon Saksgang og rapportbehandling... 8 Utformet av Internrevisjonen Helse Øst Side 2 av 8

3 1. Innledning 1.1 Bakgrunn, formål og målsetninger Revisjon av Ledelsens gjennomgåelse risikovurdering er nedfelt i styrebehandlet revisjonsplan for internrevisjonen i Helse Øst (sak ). Bakgrunnen for valg av dette temaet er eiers fokus på helhetlig risikostyring og internkontroll i foretaksprotokoll 2005 og 2006, og Ledelsens gjennomgåelse er forutsatt å skulle være helseforetakets verktøy for å gjennomgå og følge opp sin virksomhet. Formålet med revisjonen er på vegne av styret og administrerende direktør i Helse Øst RHF å se etter om helseforetakene har etablert og gjennomfører tilfredsstillende internkontroll (god virksomhetsstyring) i tråd med de krav som foretaket er underlagt i lover og forskrifter, samt krav fra eier som fremgår av foretaksprotokollen av 9. februar 2006 pkt : Styret i Sykehuset Asker og Bærum HF skal påse at internkontrollen er sikret i tilstrekkelig omfang og på en systematisk måte, tilpasset risiko og vesentlighet, med nødvendig ledelsesmessig forankring i hele organisasjonen. Risikofaktorer som kan medvirke til at målene ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse, skal beskrives og rapporteres til Helse Øst RHF i tråd med etablerte rutiner for rapportering fra helseforetaket til Helse Øst RHF. Helse Øst RHF har i den vedtatte Kvalitetsstrategien besluttet at ledelsesforankringen skal skje ved gjennomføring av Ledelsens gjennomgåelse, hvor referatene fremlegges på hvert ledernivå og hvor det foretas en total gjennomgåelse tertialvis for styret. Årlig melding skal gi den totale oppsummeringen fra referatene og vise tilstanden for internkontroll i helseforetaket som helhet. For å leve opp til eierkravet forventes det at ledelsen ved helseforetaket viser sitt styre at virksomhetens hovedmål er identifisert (målbilde), at vesentlige forhold som kan hindre måloppnåelse er identifisert (risikoer) og at korrigerende tiltak utarbeides, iverksettes og følges opp i organisasjonen. På bakgrunn av dette har målsetningen med revisjonen vært å undersøke om Ledelsens gjennomgåelse faktisk fungerer som det verktøy det er forutsatt å være, og om helseforetaket i referatene fra gjennomgangene gir styret et tilstrekkelig bilde av internkontrollen. 1.2 Metode og vurderingskriterier Revisjonen er gjennomført som en dokumentgjennomgang med tilhørende dialogmøte med ledelsen i helseforetaket for å få belyst hvordan Ledelsens gjennomgåelse benyttes for å dokumentere internkontroll/god virksomhetsstyring overfor styret. Hensikten med dialogmøte var også å gjøre internrevisjonen bedre kjent med hvordan ledergruppa håndterer problemstillinger som inngår i Ledelsens gjennomgåelse. Vurderingskriteriene bygger på grunnleggende krav om internkontroll for helseforetakene. I tillegg til den dokumentasjon som er fremlagt for styret i 2006, er det innhentet dokumentasjon i henhold til varselbrev i forkant av revisjonen, samt Årlig melding Utformet av Internrevisjonen Helse Øst Side 3 av 8

4 2 Resultatet av revisjonen 2.1 Innholdet i Ledelsens gjennomgåelse Målbilde Foretaket er i foretaksmøte med eier presentert det overordnede styringsbudskap og konkrete krav for Driftsavtalen mellom Helse Øst RHF og helseforetaket har som formål å legge et grunnlag for god virksomhetsstyring og regulere partenes plikter og rettigheter slik at de helsepolitiske mål oppfylles. Myndighetskrav er direkte bindende for foretakene og krever ingen form for eier- eller styringsmessig bekreftelse. Til sammen danner dette helseforetakets totale målbilde. I foretaket gjenspeiler dette seg også i dokumenter knyttet til strategisk fokus, budsjett og årlig melding. Virksomheten i helseforetaket måles primært på kjernevirksomheten, både kvantitativt i form av indikatorer og tall fra regnskap, men også kvalitativt gjennom ulike former for undersøkelser mot ansatte og brukere. I tillegg utføres det tilsyn og revisjoner fra eksternt og internt hold. Ved hjelp av internt styringssystem hvor ansvaret for de ulike deler av virksomheten konkretiseres og mål spesifiseres, skal virksomhetens ledelse identifisere hvor risikoen er størst for manglende måloppnåelse. Helseforetaket har i forbindelse med informasjonsinnsamlingen av revisjonsgrunnlaget redegjort for rolle ansvarsfordeling på følgende måte: Administrerende direktør er på vegne av Foretaket ansvarlig i forhold til Driftsavtalen med Helse Øst. Divisjonsdirektørene rapporterer til Administrerende direktør etter definerte maler for rapporterting, men det foreligger ikke formaliserte avtaler på dette. I referat fra ledelsens gjennomgåelse av kvalitetsarbeidet, 2. tertial 2006, behandles målekort for Kvalitetsmål 2 tertial Det er fokusert spesielt på målområdene hvor indikatorene viser negativ trend. I tillegg inneholder referatet deler av det informasjonsgrunnlaget som skal være en del av gjennomgangen: Avvik og klager, interne revisjoner og risikovurderinger, tilbakemeldinger fra pasienter og andre tjenestemottakere, samarbeidspartnere, organisasjoner, media osv i tillegg til forestående endringer i virksomheten som kan påvirke kvaliteten. Det er imidlertid i referatet ikke vist hvorvidt denne informasjonen har betydning for måloppnåelse, men det skisseres tiltak for forbedringer. Foretaket berømmes for å ha fokus på omdømme og forestående endringer i virksomheten som kan påvirke kvaliteten Årlig melding 2006, del 6 Internkontroll og vedlegg 3 med utkvittering av foretaksprotokollpunktet 4.2.1, har vært del av revisjonsgrunnlaget. Revisjons formål var å se etter om disse delene ga en internkontrollbekreftelse slik foretaksprotokollen beskriver og hvor mål, risiko og tiltak skal være dokumumentert og kommunisert. Vår oppfatning er at foretaket i dette dokumentet (som er styrets avrapportering til eier) har en relativt god forståelse for hva virksomhets- og helhetlig risikostyring innebærer, men at selve referatet fra Ledelsens gjennomgåelse fortsatt ikke fullt ut reflekterer ledelsens målbilde, risikovurdering og konkrete tiltak. Risikoidentifikasjon I henhold til foretaksprotokollen pkt 4.2.1, 2. setning; Risikofaktorer som kan medvirke til at målene ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse, skal beskrives og rapporteres til Helse Øst RHF i tråd med etablerte rutiner for rapportering fra helseforetaket til Helse Øst RHF. Å identifisere risiko er nødvendig for å ta beslutninger om det skal iverksettes tiltak som bidrar til å hindre uønskede hendelser. Utformet av Internrevisjonen Helse Øst Side 4 av 8

5 I henhold til foretakets tilbakemelding til Helse Øst RHF om status for arbeidet med Kvalitetsstrategien , er det under punktet Pasientsikkerhet c) på spørsmål om det utføres regelmessige/systematiske risikovurderinger innen kjerneoppgavene (først og fremst pasientbehandling) sagt følgende Nei, det gjennomføres ikke regelmessige og systematiske risikovurderinger, men høsten 2006 skal det lages handlingsplan for risikovurderinger innen kjerneoppgavene. Det er laget en overordnet retningslinje for risikovurdering som skal på høring, og skal godkjennes medio september Internrevisjonen er av den oppfatning at foretaket identifiserer risikoområder i sin daglige virksomhetsstyring og iverksetter tiltak, men den dokumenteres ikke direkte i forbindelse med gjennomgangen. Identifiserte risikoer vises ved at resultatet av avviks- og trend analysene medfører iverksettelse av tiltak når mål ikke er nådd. I tillegg viser referatet andre områder hvor iverksettelse eller tiltak angis spesielt og det antas å være fordi helseforetaket har sett at normale driftsprosedyrer ikke gir tilstrekkelig effekt slik at spesifikke tiltak må iverksettes. Imidlertid synliggjøres det ikke i referatet i hvilken grad klager og avvik ved tilsyn eller revisjoner bidrar til å avdekke risiko hvor det iverksettes tiltak for å forebygge lignende hendelser. Referatet synliggjør heller ikke hvor stor risikoen for manglende måloppnåelse antas å være og hvilken prioritet tiltak skal ha. Utarbeidelse av tiltak og oppfølging av disse Malen for Ledelsens gjennomgåelse er i hovedsak en mal for informasjonsinnhenting og den omhandler i liten grad hvordan ledelsen skal vurdere og konkludere ut fra denne informasjonen. I møtene skal informasjonen bearbeides og det siste punktet i malen er ment å være hoveddelen av referatet, nemlig en oppsummering av mål med risiko for manglende måloppnåelse, tiltak og handlingsplaner for oppfølging. Helseforetaket har vist at Ledelsens gjennomgåelse av arbeidet med kvalitet og internkontroll er gjennomført i tråd med veiledningen fra Helse Øst RHF. Helseforetaket synliggjør at verktøyet også benyttes som er et hjelpemiddel for god virksomhetsstyring ved at det forsøker å trekke inn alle områder i helseforetaket som har betydning for å nå de mål som fremgår av styrende dokumenter eller av ledelsen i helseforetaket. Imidlertid synliggjøres i liten grad ansvar for tiltak og oppfølging av om de har den virkning som forutsatt. Dette kan skyldes at rolle/ansvar ikke er formalisert i foretaket, men dette er ikke nærmere testet i denne revisjonen. Siden formalisering av roller og ansvar er et grunnleggende krav i internkontrollforskriften forventer vi at foretaket har løst dette på en tilfredsstillende måte. Siste punkt i malen for ledelsens gjenomgåelse er: Oppsummering og prioritering. Helseforetaket har her vist til at dette i 2006 har vært gjennomført i forhold til revisjoner, avviksbehandling og risikovurdering. Mål 2007 er forbedring av rapporteringslinjen. Internrevisjonen vil gjerne bidra til å klargjøre at oppsummeringspunktet er hovedpunktet i Ledelsens gjennomgåelse og skal være den delen hvor virksomheten legger sine handlingsplaner for å bidra til at målene med størst risiko/utfordring for måloppnåelse sikres. Revisjoner, avviksbehandling, risikovurderinger m.m. er en kombinasjon av informasjonskilder for å kunne beslutte hvor og hvordan tiltak skal iverksettes, men at ansvaret for gjennomføring ligger hos lederne i foretaket. Fra foretaksprotokollen, pkt vises til første linje hvor det står internkontroll er sikret i tilstrekkelig omfang. Tilstrekkeligheten av internkontroll i en virksomhet vurderes i forhold til hva virksomheten kan dokumentere at den har styring og kontroll med. Styringssystem er en beskrivelse av de elementer som inngår i dokumentert internkontroll, herunder også oppfølging av at det styringssystem som er etablert fungerer. Dvs. at det fungerer i praksis og ikke bare er Utformet av Internrevisjonen Helse Øst Side 5 av 8

6 organisasjonskart, prosedyrer, planer m.v., men at arbeidet utføres tilfredsstillende på alle nivå og at virksomheten er innrettet på en slik måte at uønskede hendelser i størst mulig grad unngås. Dette er et punkt som ledelsen i helseforetaket skal ha en formening om og videreformidle til styret. Innholdet vil være en helhetsvurdering av virksomhetens normale drift og godheten på de tiltak som iverksettes for å sikre utsatte målområder. I Forskrift om internkontroll i helse- og sosialtjenesten 5, er det nedfelt at internkontrollen skal dokumenteres i den form og det omfang som er nødvendig på bakgrunn av virksomhetens art, aktiviteter, risikoforhold og størrelse. Dokumentasjonen skal til enhver tid være oppdatert og tilgjengelig. Det er altså ingen fasit på hvordan et styringssystem skal se ut og utfordringen er å etablere hensiktsmessig dokumentasjon som gir tilstrekkelig informasjon. Imidlertid er det viktig å peke på at visse minimumskrav må oppfylles, herunder bl.a. rolle- og ansvarsfordelingen, hvor det skal foreligge en oversikt. (Ref. veilederen Hvordan holde orden i eget hus utgitt av Sosial- og helsedirektoratet.) 2.2 Oppsummering og konklusjon Helseforetaket har gjennom dokumentasjon og dialog vist at Ledelsens gjennomgåelse benyttes som hjelpemiddel i god virksomhetsstyring og at referatet skal gi styret en vurdering av de mest risikoutsatte målområdene. Hovedsakelig er det fokusert på kvalitetsmålene med hovedfokus på 6 områder. Det er i liten grad synliggjort om andre mål relatert til eierkrav byr på problemstillinger knyttet til måloppnåelse. Andre dokumenter som for eksempel Årlig melding 2006 og Budsjett 2007 har i større grad et virksomhetsomfattende fokus. Likeledes fremgår det i liten grad hvilken risiko foretaket vurderer å ha i forhold til måloppnåelse. Det redegjøres for tiltak som sikkert baserer seg på en vurdering, men uten risikovurderingen er det vanskelig å se bilde av helhetlig risikostyring. Dette betyr nødvendigvis ikke at det ikke drives en strukturert og risikofokusert ledelse som ivaretar god internkontroll, men at det ut fra disse referatene ikke synliggjøres om styringsdialog/system dokumenterer dette. For tiltak og oppfølging gjelder at eierskap til tiltakene ikke synliggjøres og det foreligger ikke handlingsplaner som muliggjør oppfølging. Når det gjelder implementering av Ledelsens gjennomgåelse som verktøy for ledelsen, varierer det hvor langt de enkelte divisjonene og støttefunksjonene har kommet i dette arbeidet. Imidlertid anvender divisjonene egne styringsverktøy som de har innarbeidet som del av sin daglige ledelse. 2.3 Anbefalinger til helseforetaket I pkt. 2.2 Oppsummering pekes det på noen mangler i forhold til å avgi en helhetlig vurdering av internkontroll/god virksomhetsstyring i dagens praktisering av Ledelsens gjennomgåelse. Internrevisjonen gir anbefalinger som er ment å bidra til at Ledelsens gjennomgåelse i større grad blir brukt som et ledelses- og styringsverktøy på alle nivå for egen nytte og for å bidra til at styret får ledelsens helhetlige vurdering av tilstanden i virksomheten. Det er viktig å få frem at ledelsens gjennomgåelse er et ledelses- og styringsverktøy praktisert i ledermøter, og at malen som er vedlagt Kvalitetsstrategien er en mal hovedsaklig for innsamling av info som skal drøftes i slike møter. Det er i utgangspunktet ikke en rapporteringsmal. Den skal derfor ikke begrense innholdet i gjennomgangen, men bidra til struktur som må tilpasses det enkelte ledernivå. Internrevisjonen anbefaler at det gode arbeidet som er igangsatt videreføres og at det utarbeides tiltaksplan i forhold til anbefalingene som viser hvordan foretaket vil arbeide videre for å sikre tilstrekkelig dokumentasjon på utøvelse av internkontroll/god virksomhetsstyring. Utformet av Internrevisjonen Helse Øst Side 6 av 8

7 1. For å få Ledelsens gjennomgåelse til å fungere som en helhetlig og oppsummerende tilbakemelding/avrapportering til styret på internkontroll/god virksomhetsstyring anbefaler internrevisjonen følgende: Helseforetaket bør bruke den etablerte mal som utgangspunkt for å innhente de grunnlagsdata som er nødvendig for vurderingen av virksomhetsstyringen. Eventuelle behov for å innta ytterligere elementer for å sikre helhetlig fokus må vurderes individuelt. Malen må ikke begrense gjennomgangen, men bidra til struktur i allerede eksisterende styringsdialog som skal sikre god virksomhetsstyring. Ledelsens gjennomgåelse må gis innhold som overensstemmer med de mål og utfordringer som har hovedfokus i virksomhetsstyringen, dvs der hvor det må settes inn ekstra krefter og innsats i form av tiltak som ikke er dekket i de normale driftsprosesser. 2. For å legge til rette for en systematisk gjennomgang, dokumentasjon og rapportering av risiko i helseforetaket, anbefaler internrevisjonen følgende: Et klart målbilde er avgjørende for god virksomhetsstyring. For å sikre oppfyllelse av krav til internkontroll og dokumentasjon av denne, bør helseforetaket kategorisere de mål som danner det overordnede målbilde for foretaket i dialogen som danner grunnlaget for referatet Ledelsen gjennomgåelse, og som viser prioritet i forhold til målbilde overfor styret. Tilsvarende må gjøres på hvert ledernivå i forkant og kommuniseres til foretaksledelsen. En kvalitativt god risikovurdering på overordnet nivå er viktig for å kunne ta gode beslutninger i forhold til prioritering. Ledelsen bør iverksette systematisk innsamling av informasjon om de ulike former for risikovurderinger som foretas ute i virksomheten i dag, og synliggjøre hvordan disse vurderingene ses opp mot det overordnede målbilde til ledelsen. Ledelsen bør vurdere om det er nødvendig med ytterligere metodeopplæring og fasilitering av risikovurderingsprosesser i de deler av virksomheten der dette ikke er utført. Ledelsen bør også se nærmere på om det foreligger omforente kriterier som risiko vurderes ut fra, samt sørge for at det utarbeides og iverksettes tiltak der det er risiko for manglende måloppnåelse. Dette bør skje på en måte som gjør det mulig å benytte tiltaksplanene i Ledelsens gjennomgåelse. 3. For å legge til rette for en systematisk oppfølging av forbedringstiltak, anbefaler internrevisjonen: Ledelsen vurderer å legge inn i mal/prosedyre en utkvittering av tiltak utført i henhold til frist og evaluerer om det har bidratt til ønsket måloppfyllelse. Utformet av Internrevisjonen Helse Øst Side 7 av 8

8 3. Vedlegg 3.1 Innhentet informasjon Fra RHF et Driftsavtalen med Helse Øst for 2006 Protokoll fra foretaksmøte i Sykehuset Asker og Bærum HF 9. februar 2006 Kvalitetsstrategi Status for arbeidet med kvalitetsstrategien og internkontrollen i bestillerdokumentet (Brev til Helse Øst RHF ). Årlig melding for SAB 2006, styresak Budsjett 2007, styresak Fra HF et Organisasjonskart Navn på medlemmer i ledergruppen Beskrivelse av rolle og ansvarsfordelingen knyttet til styrende dokumenter. Status bruk Ledelsens gjennomgåelse. Prosessbeskrivelse Ledelsens gjennomgang av Kvalitet og Internkontroll Kvalitetsrapportering Oversikt over dataelementer, datakilder og ansvarsfordeling (Foreløpig versjon) Eksempel på tiltaksplan Årlig melding og Ledelsens gjennomgang i SAB - Arbeidsmål 3.2 Saksgang og rapportbehandling Saksgang Mottaker/Info Dato Utsendelse av rapportutkast Administrerende direktør Erik Omland Avdelingssjef Ole Johan Kvan Tilbakemelding fra HF på utkast (note) Endelig revisjonsrapport til besvarelse for styrebehandling Behandling i styret for SAB Oversendelse styrebehandlet IR revisjonsrapport med svar fra HF et Fremleggelse for AD/KK Helse Øst Orientering om utsendt rapport/status RHF Fremleggelse for styret Helse Øst RHF Rapport med svar og protokoll fra styret i helseforetaket frem legges samlet som orienteringssak Note: Vi ber dere gjennomgå utkast til rapport og melde tilbake om administrerende direktør sier seg enig i fakta, vurderinger (herunder også formuleringer), konklusjoner og anbefalinger. Utformet av Internrevisjonen Helse Øst Side 8 av 8