Saksframlegg Referanse

Transkript

1 Saksframlegg Referanse Saksgang: Styre Møtedato Styret Helseforetakenes senter for pasientreiser ANS 23/01/2014 SAK NR Resultater av gjennomgang internkontroll 2. halvår 2013 og plan for gjennomgang av internkontroll 2014 Forslag til vedtak: 1. Styret tar resultater fra gjennomgang av internkontroll 2. halvår 2013 til etterretning. 2. Styret slutter seg til foreslått opplegg for arbeid med internkontroll internt og eksternt for 2014 Skien, 16. januar 2014 Marit Kobro Administrerende direktør Side 1 av 5

2 1. Administrerende direktørs anbefalinger / konklusjon Som databehandleransvarlig for PRO og NISSY skal Pasientreiser ANS bl.a. påse at databehandlerne ivaretar kravene til god internkontroll. Selskapet vil som et ledd i dette arbeidet gjennomgå internkontrollen ved minimum fire pasientreisekontor i Pasientreiser ANS vil også gjennomføre en ny oppfølging av Acando AS 1. halvår 2014 for å sikre at anbefalingene etter gjennomgang høsten 2012 blir fulgt opp i selskapet. Opplegg for gjennomgang av internkontroll ved pasientreisekontorene vil bli utført i samsvar med praksis fulgt ved tidligere gjennomganger. Fokus vil være oppfølging av tiltak etter revisjonen av tverrgående prosesser mellom helseforetak som har pasientreisekontor og Pasientreiser ANS, gjennomført av internrevisjonen ved RHFene. Innhold og form for gjennomgangen skal utformes i tett samarbeid mellom respektive pasientreisekontor og Pasientreiser ANS for å optimalisere effekt og nytteverdi av gjennomgangen. Målet med gjennomgangen er å sikre at pasientreisekontorene ivaretar kravene til internkontroll. Samtidig er målet for gjennomgangene å bidra til ytterligere forbedringer i kvalitet og forståelse av internkontrollen ved pasientreisekontorene. Arbeidet med internkontrollen internt i Pasientreiser ANS vil ha tilsvarende fokus. 2. Faktabeskrivelse 2.1 Hva saken gjelder I styresak nr ble opplegg for gjennomføring av internkontroll ved pasientreisekontorene og internt i Pasientreiser ANS 2. halvår 2013 presenteret for styret. Styret ba ved behandling av nevnte sak samtidig om oppdatering av oppfølgingen av områder som fremdeles er rubrisert i gul sone etter forrige gjennomgang av internkontrollen. I foreliggende styresak presenteres oppfølgingen av internkontroll 2. halvår 2013, hvordan oppfølgingen av resultatene av arbeidet er implementert ved aktuelle pasientreisekontor og plan for arbeid med internkontroll i Som databehandlingsansvarlig for PRO og NISSY er Pasientreiser ANS ansvarlig for å påse at databehandlerne har en forsvarlig internkontroll. Helseforetakene v/ pasientreisekontorene og eksterne IKT-leverandører er definert som databehandlere. Pasientreiser ANS` ansvar for å gjennomgå internkontrollen er begrenset til områder som gjelder pasientreiseområdet og omfattes av databehandleravtalene. Internkontrollen er definert med krav i helseregisterloven, syketransportregisterforskriften, norm for informasjonssikkerhet i helsesektoren (Normen) og databehandleravtalene med selskapene. Kravene gjelder databehandleransvarlig og databehandler. Overordnet skal internkontroll bidra til: Bedre informasjonssikkerhet, informasjonskvalitet og effektiviseringsgevinst System for kvalitetssikring av at offentlig regelverk følges Sikre at virksomheten driver forsvarlig og innenfor lovverket, herunder helseregisterloven og syketransportregisterforskriften. Gi fastsatte prosedyrer og instrukser som bidrar til at ledelsen sikrer at de ansatte arbeider i samsvar med virksomhetens mål/policy Bidra til at avvik blir oppdaget og korrigert Redusere sjansen for alvorlige feil som skyldes manglende oppfølging av lovverket.. I samsvar med tidligere praksis (styresak nr ) legges det opp til gjennomgang ved fire pasientreisekontor i 2. halvår 2014, kfr også styresak om innretningen av arbeidet for Resultater fra oppfølgingsgjennomgangen av internkontroll ved pasientreisekontorene høsten 2013 I sak ble resultatene av gjennomgangene ved de fire utvalgte kontorene presentert. To kontor hadde til sammen tre områder i gul sone og gjennom vedtak i sak ønsket styret en oppdatering av hvordan disse områdene ble fulgt opp ved pasientreisekontorene. Side 2 av 5

3 Ved Pasientreiser Møre og Romsdal var området Innhold i Direkteoppgjørsregisteret (NISSY) definert i gul sone. Det ble gitt en anbefaling om at Pasientreiser Møre og Romsdal bør vurdere å gjennomføre jevnlige stikkprøver av rekvisisjoner for lokale turer for å bekrefte at det ikke registreres sensitive opplysninger i fritekstfektet til transportører. Høsten 2013 har dette blitt fulgt opp ved Pasientreiser Møre og Romsdal. Leder bekrefter at rutinen for dette området er endret og ifølge den oversendte rutinen har tiltaket blitt ytterligere fulgt opp ved at alle lokale turer nå kontrolleres og ikke bare er stikkprøvebasert. Området er derfor nå vurdert i grønn sone av Pasientreiser ANS. Ved Pasientreiser Vestre Viken ble til slutt to områder stående i gult; Virksomhetens mål og Sikkerhetsstrategi. Det ble gitt en anbefaling om at Ledelsen ved Pasientreiser Vestre Viken bør gjøre seg kjent med gjeldende sikkerhetsmål og sikkerhetsstrategi i HFet. En oppfølging av de gule områdene i august 2013 bekrefter at Pasientreiser Vestre Viken har fulgt opp disse anbefalingene. Helseforetaket har utarbeidet et eget opplæringsprogram for å sørge for at hele organisasjonen kjenner til gjeldende sikkerhetsmål og sikkerhetsstrategi i helseforetaket. Områdene er derfor nå vurdert i grønn sone av Pasientreiser ANS. 2.3 Resultater fra gjennomgangen av internkontroll hos leverandørene høsten 2013 I sak ble det redegjort for status for arbeidet med sikkerhetsrevisjoner av IKTleverandørene. I saken ble det oppsummert med at sentrale deler av internkontrollen er dokumentert hos IKT-leverandørene. Det viktigste var imidlertid å påse at internkontrollen gjennomføres i samsvar med lovverket og vedtatte prosedyrer. I samarbeid med leverandørene Acando AS og Locus AS ble det gjennomført stedlige besøk høsten 2012 ved de respektive virksomhetene. Som det ble oppsummert under administrerende direktørs orientering i styremøtet oktober 2012 er erfaringen fra de stedlige besøkene gode. Det er områder hvor Pasientreiser ANS har anbefalt tiltak for ytterligere å forbedre rutiner og prosesser i virksomhetene, men mye av de sentrale elementene er godt ivaretatt. Pasientreiser ANS gjennomførte høsten 2013 en oppfølging av leverandørene for å påse at anbefalingene har blitt fulgt opp i praksis. Ved Locus AS ble det i 2012 definert 13 områder i gul sone med seks anbefalinger til oppfølging. Ved gjennomgangen høsten 2013 var alle områdene fulgt opp. Locus AS hadde i tillegg valgt å bruke Normen som grunnlag for sin internkontroll utvover de områdene som er obligatoriske krav iht databehandleravtalen. Ved Acando AS ble det i 2012 definert fem områder i gul sone med fire anbefalinger til oppfølging. Oppfølgingsrevisjonen i november 2013 viste at oppfølging av anbefalingene ikke var gjennomført. I etterkant av det den stedlige gjennomgangen har Pasientreiser ANS gjentatte ganger etterspurt dokumentasjon om hva som er gjennomført av tiltak og hvordan Acando AS planlegger å følge eventuelle gjenstående anbefalinger. I følge teknisk direktør i Acando AS er kravene som Normen stiller i det praktiske arbeidet ivaretatt. På grunn av manglende dokumentasjon kan ikke Pasientreiser ANS konkludere om kravene i Normen er ivaretatt. Områdene i gul sone og tilhørende anbefalinger til oppfølging opprettholdes. Det har ikke blitt foretatt noen oppfølgingsrevisjon av Norsk Helsenett da gjennomgangen i 2012 definerte alle undersøkte områder i grønne sone, og følgelig ingen anbefalte tiltak å følge opp. 2.4 Resultater av arbeid med internkontroll i Pasientreiser ANS høsten 2013 Høsten 2013 har arbeidet med intern oppfølging av tiltak etter internrevisjonens rapport 1/2013 om Revisjon av tverrgående prosesser mellom helseforetak som har pasientreisekontor og Pasientreiser ANS blitt igangsatt. I tillegg har det blitt gjennomført interne gjennomganger av områder etter behov og med basis i risikovurdering av internkontrollen i selskapet. Side 3 av 5

4 Et spesielt fokusområde høsten 2013 har vært gjennomgang og kvalitetsheving av anskaffelsesområdet i selskapet. Gjennomgangen viste at det er gjort mye godt arbeid på dette området, men det er fortsatt rom for forbedringer, særlig i oppfølgingsfasen. Gjennomgangen endte opp med en anbefaling om å videreutvikle kompetanse om lov, forskrift og prosedyre for anskaffelser samt innholdet i avtaler. Et annet forbedringsområde var arkivering av dokumenter, spesielt i oppfølgingsfasen av en anskaffelse. Anskaffelsesområdet har siden blitt forbedret gjennom endret prosedyre og organisering av arbeidet. Endringene skal føre til større spesialistkompetanse om anskaffelser i Pasientreiser ANS og større grad av standardisering av hvordan anskaffelsene skjer, herunder dokumentering og arkivering. 2.5 Plan for arbeid med internkontroll ved pasientreisekontorene 2014 Gjennomgangene av internkontrollen ved pasientreisekontorene høsten 2010 og våren 2011 viste få alvorlige avvik, jamfør sak nr De fire kontorene som ble gjennomgått 2012/2013 (sak nr ) representerte de kontorene i hver region med flest avvik i første gjennomgang av internkontrollen. Resultatet viste en vesentlig forbedring av internkontrollen for de undersøkte områdene og alle områdene i gul og rød sone ved de sist reviderte kontorene er nå i grønn sone. Oppsummert kan det tyde på at områdene som har blitt fokusert på tidligere er godt ivaretatt og at nye gjennomganger bør skifte fokus. I styresak ble referert til en rekke anbefalinger til oppfølging av (utkast til) rapport 1/2013 (tverrgående prosesser)som skal følges opp i Pasientreiser ANS, ved RHFene og HFene. Det ble planlagt et ettersyn av hvordan oppfølging av tilakene følges opp ved fire utvalgte pasientreisekontor, ett i hver region. Forutsetningen var at de anbefalte tiltakene var blitt implementert og ved en eventuell sen styrebehandling vil oppstart av gjenomgangene bli forskjøvet. Styret vedtok (sak ) plan for oppfølging av rapporten. Sluttrapportering og implementering av tiltakene skal skje innen juni 2014 og de planlagte gjennomgangene blir derfor bli forskjøvet til høsten I likhet med tidligere vil lederne ved pasientreisekontorene som skal gjennomgås involveres i forkant. Prosessen vil følge samme opplegg som tidligere, da det er gitt gode tilbakemeldinger fra lederne ved pasientreisekontorene på gjennomførte prosesser. Innhold og form for gjennomgangen vil utformes i tett samarbeid mellom Pasientreiser ANS og respektive pasientreisekontor for å optimalisere effekt og nytteverdi. Det vil være naturlig å inkludere oppfølging av tidligere gjennomganger som en mindre del av denne gjennomgangen. Våren 2014 vil mye av fokuset for internkontroll ved pasientreisekontorene være å følge opp rapport 1/2013 fra internrevisjonene ved RHF-ene. Pasientreiser ANS vil bidra i dette arbeidet iht vedtatte tiltaksplan, herunder kompetanseheving om databehandleransvar, syketransportregisterforskriften, risikostyring og tilrettelegging av styringsdata. 2.6 Plan for arbeid med internkontroll internt i Pasientreiser ANS 2014 Tidligere gjennomganger av internkontrollen og internrevisjoner, se blant annet sak og , viser at selskapet ikke har vesentlige svakheter og/eller feil innenfor områdene av helhetlig opplegg for intern styring og kontroll som har blitt gjennomgått. Fremover vil derfor fokuset fortsatt være å videreutvikle og forbedre eksisterende internkontroll med basis i rammene for internkontrollarbeidet slik dette fremgår av sak I likhet med internkontrollarbeid ved pasientreisekontorene, vil det fokuseres på intern oppfølging av tiltak etter internrevisjonens rapport 1/2013. I tillegg vil det som tidligere gjennomføres interne gjennomganger av områder etter behov og med basis i risikovurdering av internkontrollen i selskapet. Side 4 av 5

5 I samsvar med oppdragsdokument for 2012 og 2013, skal Pasientreiser ANS sertifiseres i tråd med ISO om miljøstyringssystemer. Det er lagt en plan for sertifisering og forberedelsesarbeidet for sertifiseringen blir en prioritert oppgave våren Styret vil orienteres ytterligere om prosessen rundt dette arbeidet når selskapet er sertifisert. Som en del av oppfølgingen etter internrevisjonens rapport 2/2013 om oppfølging av anbefalinger etter tidligere revisjoner, kfr egen styresak, vil Pasientreiser ANS gjennomføre en beredskapsøvelse våren Administrerende direktørs vurderinger 3.1 Risikovurderinger: etisk, faglige, økonomiske, omdømmemessige, juridiske m.v Det er sentralt at Pasientreiser ANS som databehandleransvarlig sikrer at databehandlerne ivaretar kravene til en god internkontroll. Tidligere gjennomganger ved pasientreiserkontorene viser at sentrale deler av internkontrollen er ivaretatt og oppfølgingen av disse gjennomgangene viser at det har blitt en ytterligere forbedring. I Pasientreiser ANS er det etablert en forsvarlig internkontroll, hvor fokuset fortsatt blir utvikling og forbedring. 3.2 Evt dialog/forankring av saken (ansatte / brukerne) Det blir lagt opp til involvering av pasientreisekontorene og de eksterne leverandørene i forberedelsene til gjennomgangene av internkontrollen for å optimalisere effekt og nytteverdi av gjennomgangene. Det har vært en god dialog mellom partene under arbeidet med tidligere gjennomganger. Unntaket er ved gjennomgangen i Acando AS, hvor selskapet ikke har hatt en (dokumentert) oppfølging av gitte anbefalinger. 3.3 Konklusjon Erfaringene fra gjennomført arbeid er gode og det er en klar forbedring fra tidligere gjennomganger ved pasientreisekontorene. Hos IKT-leverandørene, kan Locus As vise til en klar forbedring siden forrige gjennomgang, mens Acando ikke kan dokumentere sin oppfølging. Pasientreiser ANS vil gjennomføre en ny oppfølging av Acando AS 1. halvår 2014 for å sikre at anbefalingene blir fulgt opp i selskapet. Internrevisjonene ved RHFene gir en rekke anbefalinger til forbedring av internkontrollen i rapport 1/2013 om Revisjon av tverrgående prosesser mellom helseforetak som har pasientreisekontor og Pasientreiser ANS. Det er sentralt at disse anbefalingene følges opp i Pasientreiser ANS og ved pasientreisekontorene, i henhold til vedtatt oppfølgingsplan i styresak Ettersyn av hvordan oppfølging av tilakene følges opp internt og ved fire utvalgte pasientreisekontor, ett i hver region, vil derfor utgjøre hovedfokuset for arbeidet med internkontroll 2. halvår Iverksetting og oppfølging av gjenomgangene vil tilpasses de respektive helseforetak. Miljøsertifisering og beredskapsøvelse prioriteres våren 2014 i Pasientreiser ANS. Side 5 av 5