Årsrapport 2011 Internrevisjon Pasientreiser ANS

Transkript

1 Årsrapport 2011 Internrevisjon

2 Innhold Internrevisjon Innledning Revisjon av systemforvaltning... 4 Formål og omfang... 4 Tidsrom for gjennomføring og ressursbruk... 4 Funn og anbefalinger... 4 Styrets behandling av rapporten... 4 Administrerende direktørs tiltaksplan og styrets oppfølging av denne Revisjon av tjenesteavtaler og SLAer... 6 Formål og omfang... 6 Tidsrom for gjennomføring og ressursbruk... 6 Funn og anbefalinger... 6 Styrets behandling av rapporten... 6 Administrerende direktørs tiltaksplan og styrets oppfølging av denne Revisjon av virksomhetsstyring, intern styring og kontroll... 8 Formål og omfang... 8 Tidsrom for gjennomføring og ressursbruk... 8 Årsrapport 2011 Side 2 av 8

3 1. Innledning Årsrapport 2011 skal gi styret for Helseforetakenes senter for pasientreiser ANS () en beskrivelse av gjennomførte revisjoner, resultatet av disse, samt angi hvilke endringer eller utsettelser som er foretatt i forhold til revisjonsplanen. Internrevisjonen har i samsvar med revisjonsplanen for 2011 (styresak ) arbeidet med følgende oppdrag: Revisjon av systemforvaltning Revisjon av tjenesteavtaler og SLA Revisjon av virksomhetsstyring, intern styring og kontroll Revisjonene av systemforvaltning og tjenesteavtaler/ SLA, er gjennomført og styrebehandlet i løpet av året. Revisjon av virksomhetsstyring, intern styring og kontroll er to-delt. Del 1 startet opp i november 2011 og vil avsluttes i løpet av februar Styret har i budsjettet for 2011 stilt til rådighet 0,5 mill kroner for gjennomføring av oppdragene nedfelt i revisjonsplanen. Den økonomiske rammen har vært tilstrekkelig. Internrevisjonen har i samsvar med revisjonsinstruksen hatt møter med styreleder og administrerende direktør for for gjensidig informasjonsutveksling og orientering om status for internrevisjonens aktiviteter i selskapet. Kommunikasjon og samhandling har vært preget av åpenhet og gjensidig tillit. Internrevisjonen har hatt tilgang til informasjon og personell i selskapet som det har vært behov for å i gjennomføringen av arbeidet. Internrevisjonen i Internrevisjonen i arbeider i henhold til instruks fastsatt av selskapets styre Formål Internrevisjonen er en uavhengig bekreftelses- og rådgivningsfunksjon som har til formål å bistå styret og ledelsen ved med å utøve god virksomhetsstyring gjennom vurdering av risikohåndtering og intern styring og kontroll. Organisering Internrevisjonen er organisert direkte under styret for og rapporterer til styret ved dets leder (faglig) og selskapets administrerende direktør (administrativt). Oppgaver Internrevisjonen skal utføre bekreftelseseller rådgivningsoppdrag for styret og administrerende direktør for Pasientreiser ANS i henhold til revisjonsplan, og for øvrig innenfor rammene for selskapets juridiske ansvar. Internrevisjonen skal gjennom sitt arbeid bidra til kvalitetsforbedring av selskapets interne styrings- og kontrollsystemer Internrevisjonen skal i utførelsen av funksjonen basere seg på de til enhver tid gjeldende etiske regler og standarder for profesjonell utøvelse av internrevisjon som er fastsatt av The Institute of Internal Auditors/Norges Interne Revisorers Forening. Kompetanse og ressurser Internrevisjonstjenestene til Pasientreiser ANS leveres av konsernrevisjonen Helse- Sør-Øst på bakgrunn av avtale inngått med. Internrevisjonens planer og ressurser fastsettes av styret for. Årsrapport 2011 Side 3 av 8

4 2. Revisjon av systemforvaltning Formål og omfang Formålet med revisjonen var å kartlegge og vurdere intern styring, kontroll og oppfølging av systemene Nissy og PRO og telefontjenesten til. Revisjonen omfattet utviklings- og driftsprosesser i sammenheng med målene og beslutningsprosessene til selskapet. Revisjonen omfattet også vurdering av informasjonssikkerheten i selskapet. Følgende problemstillinger ble belyst: Er det er etablert tilfredsstillende avtaler med underleverandører, og følges disse opp i samsvar med forretningsbehovet? I hvilke grad er det innført gode rutiner, herunder roller og ansvar som sikrer god og effektiv drift som understøtter forretningsbehovet? I hvilken grad har virksomheten innført Norm for informasjonssikkerhet? I hvilke grad er det etablert sikringstiltak i samsvar med Norm for informasjonssikkerhet? Tidsrom for gjennomføring og ressursbruk Revisjonen ble gjennomført i perioden april mai. Ressursbruk var 177 timer mot et estimat på 150 t. Funn og anbefalinger Revisjonen viste: Enkelte svakheter i avtalene med Norsk Helsenett som etter internrevisjonens oppfatning kan ha medført uklart ansvar og forventingsnivå mellom partene. Mangler i interne prosesser knyttet til bl.a. endringshåndtering og testing som har innvirket på driftsstabiliteten. Revisjonen viste samtidig at hadde etablert et styringssystem for informasjonssikkerhet for å ivareta kravene i Norm for informasjonssikkerhet i helsesektoren, men at dette hadde enkelte svakheter knyttet til gjennomføring av risikovurderinger, mindre tekniske sikringstiltak, databehandleravtaler og gjennomføring av sikkerhetsrevisjoner i egen organisasjon. Revisjonen viste at ledelsen var godt kjent med de risikoer og oppgaver som gjensto. Det er iverksatt riktige kortsiktige tiltak og det foreligger en overordnet plan for å ta fatt på de mer langsiktige tiltakene for å bedre systemforvaltingen. Internrevisjonen ga til sammen 9 anbefalinger for å forbedre prosessene for systemforvalting og informasjonssikkerhet. Styrets behandling av rapporten Revisjonsrapport ble sendt administrerende direktør og behandlet av styret (styresak ). Under styrets behandling av saken fremkom spørsmål knyttet til funnene av svakheter ved avtalene med Norsk Helsenett. Styret fattet etter dette følgende enstemmige vedtak: 1. Styret tar rapport fra revisjon av systemforvaltning i til foreløpig etterretning og ber om at administrerende direktør i samarbeid med revisjonen avklarer underlagsmateriale for de to røde punkt i rapporten 2. Styret ber om at administrerende direktør legger frem tiltaksplan for oppfølging av rapporten i styremøtet I internrevisjonens redegjørelse for revisjonskriteriene, funnene og vurderingene av de aktuelle røde punktene som ble oversendt , ble det vist til at ved bruk av eksterne Årsrapport 2011 Side 4 av 8

5 driftsleverandører stiller Personopplysningsloven krav til å inngå en databehandler avtale med den som gjennomfører oppgaver på vegne av virksomheten. En databehandleravtale må inngås med alle som behandler, drifter eller oppbevarer data som virksomheten er ansvarlig for. Som grunnlag for revisjon ble det tatt utgangspunkt i Norm for informasjonssikkerhet, faktaark nr. 10. De sikkerhetsmessige kravene i normen er vurdert dekket i avtalen, jr. revisjonsrapporten. Det som imidlertid ikke er dekket i avtalen, er hvilke sikkerhetsrelaterte aktiviteter som skal gjennomføres av hvem i den bestemte løsningen. Dette er uklart og bør presiseres. I kombinasjon med at virksomheten ikke klarte å redegjøre for hvordan ansvaret, hvilke avtale som ligger til grunn i kombinasjon med mangelfulle driftsrutiner (jf. de øvrige funnene) valgte vi å rapportere at området må forbedres. bekreftet i sin tilbakemelding at internrevisjonens vurderinger og anbefalinger ble tatt til følge. Administrerende direktørs tiltaksplan og styrets oppfølging av denne Administrerende direktørs tiltaksplan ble fremlagt for styret i møte (styresak ). Styret fattet følgende enstemmige vedtak: 1. Styret tar tiltaksplan for oppfølging av revisjonsrapport om systemforvaltning i til etterretning. 2. Styret slutter seg til forslag om opplegg for rapportering av fremdrift av tiltaksplan. Tiltaksplanen var etter internrevisjonens vurdering dekkende i forhold til rapportens anbefalinger. Rapportering av fremdrift av tiltaksplan var til behandling i styret (sak ). I henhold til planen skal alle tiltak være gjennomført innen mars Årsrapport 2011 Side 5 av 8

6 3. Revisjon av tjenesteavtaler og SLAer Formål og omfang Formålet med revisjonen var å vurdere tjenesteavtalene som er etablert for å regulere ansvaret mellom og de regionale helseforetakene, herunder i hvilken grad de tilrettelegger for en omforent tolkning av hvilke tjenester skal levere, hva tjenestene skal inneholde og hvilke mål som er satt for tjenestekvalitet. Hensikten var å bidra til forbedringer for å oppnå avtalt tjenestenivå, forbedre effektivitet eller som grunnlag for å videreutvikle avtalene. Følgende problemstillinger ble belyst: I hvilken grad har virksomheten etablert SLAer? I hvilken grad er SLAene utformet i samsvar med god praksis eks. statens standardavtale for tjenestekjøp og dataforeningens veileder for SLA avtaler eller lignende? I hvilke grad gjennomfører oppgaver og tjenester til det tjenestenivå, tilgjengelighet og kvalitet som er avtalt? I hvilken grad er det etablert hensiktsmessige rutiner og systemer for overvåking og oppfølging av leveransene? I hvilken grad er det etablert hensiktsmessige arenaer og rutiner for evaluering og videreutvikling av tjenesteavtalen? Revisjonen har ikke omfattet kartlegging eller vurdering av de tjenestene som helseforetakene v/pasientreisekontorene faktisk mottar. Det er lagt til grunn at dette skal belyses nærmere i del 2 av revisjon av virksomhetsstyring, intern styring og kontroll. Tidsrom for gjennomføring og ressursbruk Revisjonen ble gjennomført i perioden august september. Ressursbruk var 41 timer mot estimat på 50 t. Funn og anbefalinger Revisjonen viste at SLA-avtaler var etablert med de regionale helseforetakene, og hvor helseforetakene ved pasientreisekontorene er tjenestemottakere. Avtalene innholdt i stor grad de mekanismer en SLA-avtale bør innholde, men det ble funnet forbedringsområder knyttet til deler av avtalenes utforming, herunder beskrivelse, måling og beregning av tjenestekvalitet, samt konsistens mellom SLA-avtalene og selskapsavtalens formuleringer av ansvar for regelverksfortolkninger. Revisjonen viste også at etterlevde SLA-avtalene på de områder som var omfattet av revisjonen, med unntak av avtalens krav om at det skal foreligge ny signert avtale for alle tilleggstjenester skal yte overfor pasientreisekontorene. De identifiserte svakhetene ble ikke vurdert som områder med vesentlig risiko for, men internrevisjonen ga til sammen 4 anbefalinger til sitt arbeid med å forbedre prosessen for SLAer. Styrets behandling av rapporten Revisjonsrapport ble sendt administrerende direktør og fremlagt for behandling av styret (styresak ). Årsrapport 2011 Side 6 av 8

7 Styrets enstemmige vedtak: 1. Styret tar rapport fra revisjon av tjenesteleveranseavtalen (SLA) til etterretning. 2. Styret ber administrerende direktør legge frem tiltaksplan for oppfølging av punktene om regelverksfortolkning og avtaler om tilleggstjenester i styremøtet og at øvrige anbefalinger søkes inntatt i revisjon av SLAavtalen i I forhold til fremtidige revisjoner ønsker styret at en i forkant av nye revisjoner får en bred diskusjon av revisjonsplan Administrerende direktørs tiltaksplan ble fremlagt for styret i møte (styresak ). Styret fattet følgende enstemmige vedtak: 1. Styret tar tiltaksplan for oppfølging av revisjonsrapport om tjenesteleveranseavtalen til etterretning. 2. Styret slutter seg til forslag til opplegg for rapportering av videre fremdrift av tiltaksplan. Tiltaksplanen var etter internrevisjonens vurdering dekkende i forhold til rapportens anbefalinger. I henhold til planen skal alle tiltak være gjennomført innen Årsrapport 2011 Side 7 av 8

8 4. Revisjon av virksomhetsstyring, intern styring og kontroll Formål og omfang Formålet med revisjonen er å gjennomgå og vurdere om har etablert hensiktsmessig virksomhetsstyring som gir rimelig sikkerhet for at formålet med selskapets virksomhet oppnås, herunder at oppgaver gitt gjennom overordnede styringsdokumenter og styrets beslutninger gjennomføres og at fastsatte målsettinger for løpende drift oppnås. Revisjonen skal omfatte selskapets system og prosesser for virksomhetsstyring. Virksomhetsstyring brukes her om interne styring og oppfølging av oppgaver som skal gjennomføres for å levere tjenester som oppfyller overordnede føringer fra eierne og i samsvar med inngåtte avtaler. Revisjonen er lagt opp i to deler: Del 1 gjennomføres innenfor rammene av revisjonsplan for 2011, og er avgrenset til gjennomgang og vurdering av internt (dvs. systemer og prosesser som ligger innenfor selskapets juridiske ansvar). Følgende problemstillinger skal belyses i del 1: I hvilken grad har selskapet et godt styrings- og kontrollmiljø som bidrar til gode holdninger til styring og kontroll, hensiktsmessig organisering og tydelig ansvars- og myndighetsfordeling, samt god ressursstyring, bruk og utvikling av selskapets kompetanse? I hvilken grad har selskapet etablert målsettinger for ordinær drift og utviklingsoppgaver, og i hvilken grad er disse operasjonalisert innenfor områder og nivåer i selskapet? I hvilken grad har selskapet etablert prosesser for å identifisere, vurdere og håndtere risikoforhold som kan hindre måloppnåelse, etterlevelse av lov- regelverk og pålitelig styringsinformasjon om driften? I hvilken grad har selskapet etablert tilstrekkelige og hensiktsmessige tiltak for å ha styring og kontroll med virksomheten? I hvilken grad har selskapet en hensiktsmessig og effektiv oppfølging av virksomheten? Del 2 skal eventuelt gjennomføres innenfor rammene av revisjonsplan for 2012 eller senere, og vil omfatte helheten i prosessene mellom selskapet og pasientreisekontorene i helseforetakene, herunder hvordan inngått avtaler, SLAer og løpende samhandling i tjenesteutøvelsen fungerer. Fordi del 2 vil gripe inn i prosesser og oppgaver som faller inn under helseforetakene v/pasientreisekontorenes juridiske ansvar, vil gjennomføringen forutsette revisjonsinnsats fra de regionale internrevisjonene. Dette er initiert og videre planlegging av del 2 vil forutsette at det er etablert forpliktende avtaler mellom internrevisjonene i Helse Nord, Helse Midt-Norge, Helse Vest og Helse Sør-Øst om dette. For å sikre riktig innretning og omfang av en eventuell del 2, skal det også ses hen til selskapets arbeid med regelverksendringer og eventuelt mandat for evaluering av enkeltoppgjørsordningen som er initiert av AD-møtet. Tidsrom for gjennomføring og ressursbruk Revisjonens del 1 startet opp og skulle etter planen vært ferdigstilt for behandling i styremøte For å oppnå god forankring, er det etter internrevisjonens vurdering nødvendig å bruke noe lengre tid på dialog og samhandling før endelig revisjonsrapport med anbefalinger ferdigstilles. I samråd med administrerende direktør og styreleder vil derfor revisjonen pågå ut februar 2012 med styrebehandling Estimert ressursbruk er 200 timer og revisjonens del 1 vil bli ferdigstilt innenfor tildelt ramme for gjennomføring av revisjonsplan Årsrapport 2011 Side 8 av 8