Rapport Revisjon ledelsens gjennomgåelse risikovurdering Ullevål universitetssykehus HF

Transkript

1 Rapport Revisjon ledelsens gjennomgåelse risikovurdering Ullevål universitetssykehus HF Internrevisjonen Helse Øst

2 Rapport nr Revisjonsperiode November desember 2006 (utsatt til ) Virksomhet Rapportmottaker Kopi Rapportavsender Oppdragsgiver Revisor Ullevål universitetssykehus HF Administrerende direktør Ullevål universitetssykehus HF Administrerende direktør Helse Øst RHF Kontrollkomiteen Helse Øst RHF Internrevisjonen Helse Øst Styret i Helse Øst RHF v/styreleder Internrevisor Karl-Helge Storhaug, Helse Øst RHF Leder internrevisjon Liv Todnem, Helse Øst RHF Innhold 1. Innledning Bakgrunn, formål og målsetninger Metode og vurderingskriterier Resultatet av revisjonen Innholdet i Ledelsens gjennomgåelse Oppsummering og konklusjon Anbefalinger til helseforetaket Vedlegg Innhentet informasjon Saksgang og rapportbehandling... 9 Utformet av Internrevisjonen Helse Øst Side 2 av 9

3 1. Innledning 1.1 Bakgrunn, formål og målsetninger Revisjon av Ledelsens gjennomgåelse risikovurdering er nedfelt i styrebehandlet revisjonsplan for internrevisjonen i Helse Øst (sak ). Bakgrunnen for valg av dette temaet er eiers fokus på helhetlig risikostyring og internkontroll i foretaksprotokoll 2005 og 2006, og ledelsens gjennomgåelse er forutsatt å skulle være helseforetakets verktøy for å gjennomgå og følge opp sin virksomhet. Formålet med revisjonen er på vegne av styret og administrerende direktør i Helse Øst RHF å se etter om helseforetakene har etablert og gjennomfører tilfredsstillende internkontroll (god virksomhetsstyring) i tråd med de krav som foretaket er underlagt i lover og forskrifter, samt krav fra eier som fremgår av foretaksprotokollen av 9. februar 2006 pkt : Styret i Ullevål universitetssykehus HF skal påse at internkontrollen er sikret i tilstrekkelig omfang og på en systematisk måte, tilpasset risiko og vesentlighet, med nødvendig ledelsesmessig forankring i hele organisasjonen. Risikofaktorer som kan medvirke til at målene ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse, skal beskrives og rapporteres til Helse Øst RHF i tråd med etablerte rutiner for rapportering fra helseforetaket til Helse Øst RHF. Helse Øst RHF har i den vedtatte Kvalitetsstrategien besluttet at ledelsesforankringen skal skje ved gjennomføring av Ledelsens gjennomgåelse, hvor referatene fremlegges på hvert ledernivå og hvor det foretas en total gjennomgåelse tertialvis for styret. Årlig melding skal gi den totale oppsummeringen fra referatene og vise tilstanden for internkontroll i helseforetaket som helhet. For å leve opp til eierkravet forventes det at ledelsen ved helseforetaket viser sitt styre at virksomhetens hovedmål er identifisert (målbilde), at vesentlige forhold som kan hindre måloppnåelse er identifisert (risikoer) og at korrigerende tiltak utarbeides, iverksettes og følges opp i organisasjonen. På bakgrunn av dette har målsetningen med revisjonen vært å undersøke om Ledelsens gjennomgåelse faktisk funger som det verktøy det er forutsatt å være, og om helseforetaket i referatene fra gjennomgangene gir styret et tilstrekkelig bilde av internkontrollen. 1.2 Metode og vurderingskriterier Revisjonen er gjennomført som en dokumentgjennomgang med tilhørende dialogmøte med ledelsen i helseforetaket for å få belyst hvordan Ledelsens gjennomgåelse benyttes for å dokumentere internkontroll/god virksomhetsstyring overfor styret. Hensikten med dialogmøte var også å gjøre internrevisjonen bedre kjent med hvordan ledergruppa håndterer problemstillinger som inngår i Ledelsens gjennomgåelse. Vurderingskriteriene bygger på grunnleggende krav om internkontroll for helseforetakene. I tillegg til den dokumentasjon som er fremlagt for styret i 2006, er det innhentet dokumentasjon i henhold til varselbrev i forkant av revisjonen, samt Årlig melding Utformet av Internrevisjonen Helse Øst Side 3 av 9

4 2 Resultatet av revisjonen 2.1 Innholdet i Ledelsens gjennomgåelse Målbilde Foretaket er i foretaksmøte med eier presentert det overordnede styringsbudskap og konkrete krav for Driftsavtalen mellom Helse Øst RHF og helseforetaket har som formål å legge et grunnlag for god virksomhetsstyring og regulere partenes plikter og rettigheter slik at de helsepolitiske mål oppfylles. Myndighetskrav er direkte bindende for foretakene og krever ingen form for eier- eller styringsmessig bekreftelse. Til sammen danner dette helseforetakets totale målbilde som også omfatter strategisk fokus. Det er primært kjernevirksomheten som måles i helseforetaket, både kvantitativt i form av indikatorer og tall fra regnskap, men også kvalitativt gjennom ulike former for undersøkelser mot ansatte og brukere. I tillegg utføres det tilsyn og revisjoner fra eksternt og internt hold. Ved hjelp av internt styringssystem, hvor ansvaret for de ulike deler av virksomheten konkretiseres og mål spesifiseres, skal virksomhetens ledelse identifisere hvor risikoen er størst for manglende måloppnåelse. Helseforetaket har fremlagt oversikt over organisasjonen og driftsavtaler mellom AD og divisjonsdirektørene, gjeldende før omorganisering. Det er ikke utarbeidet tilsvarende avtaler etter omorganiseringen og i følge de signaler som ble gitt i dialogmøte vil denne typer avtaler ikke bli videreført. Foretaket opplyser at driftsavtalene skal erstattes med en avtale om mål og resultatkrav, på linje med en avtale administrerende direktør har inngått med styreleder. Avtalene vil inneholde mål knyttet til økonomi, pasientaktivitet, kvalitet, forskning, samarbeid med mer. Avtalene inngås etter at det er gjennomført medarbeidersamtale og vil bli brukt som grunnlag for oppfølgingssamtaler Helseforetaket har etablert prosedyre for styringsdialogen Ledelsens gjennomgang. Internrevisjonen ønsker å knytte en kommentar til pkt. 2 Definisjoner. Ved bruk av disse definisjonene kan Ledelsens gjennomgang oppfattes som noe annet enn en periodisk strukturert del av styringsdialogen og kvalitetssystem. Intensjonen med Ledelsens gjennomgang er å bidra til bedre struktur og dokumentasjon av ledermøtene. I dokumentet Ledelsens gjennomgåelse 2. tertial fremgår månedsrapportering august, status budsjett og Ledelsens gjennomgang for 2. tertial Internrevisjonen har ingen synspunkter på rapportformen som sådan i denne sammenhengen, men drøfter hvilket innhold Ledelsens gjennomgåelse har fått og om vi finner risikovurdering i forhold til målbilde, tiltak og oppfølging av disse. I rapport fra 2. tertial redegjøres det for status i forhold til de valgte kvalitetsindikatorene, med særskilt fokus på epikrisetid, korridorpasienter, ventelister, aktivitet og økonomi. Dette er en oppsummering i forhold til status for disse målene. I faktabeskrivelse pkt. 2.2 Resultater, gjengis målekortet med vurderinger pr. 2. tertial og i del 2.3 analyseres mål og måloppnåelse. I tillegg til indikatorene for primærtjenestene finnes også indikatorene for kompetanse, organisasjon og ledelse og ressurser. Imidlertid synliggjøres det ikke om helseforetaket har andre mål enn de som synliggjøres ved indikatorene, enten knyttet til spesifikke funksjoner eller av mer overordnet karakter som det i en slik gjennomgang er viktig å vurdere risiko/utfordring i forhold til. Utformet av Internrevisjonen Helse Øst Side 4 av 9

5 Helseforetaket har i pkt beskrevet Styringsperspektiver, som formidles ved at administrerende direktør hvert tertial har oppfølgingsmøte med divisjonene. I disse møtene, som tar utgangspunkt i driftsavtalen, skal det i hovedsak redegjøres for de områder hvor plantall eller mål ikke er oppnådd. Som nevnt over kan andre former for mål være viktig å belyse, spesielt i forhold til om det oppstår målkonflikter (jfr. Budsjett 2007 og tiltak). I opprinnelig mal for Ledelsens gjennomgåelse (vedlegg 4 i Årlig melding 2006 fra UUS) er det i nest siste punkt presisert at endringer og andre forhold som kan ha betydning for måloppnåelse skal medtas. Her forventer internrevisjonen at utfordringer/risiko knyttet til områder eller støttefunksjoner som direkte eller indirekte har betydning for kjernevirksomheten også må inngå som del av den gjennomgangen. Dette fordi at det normalt sett vil være en del av løpende styringsdialog. Konklusjonen er at målfokus i rapporteringen 2. tertial til styret er god, men dersom denne form for gjennomgang skal reflektere virksomhetstyring som helhet, må alle aktuelle mål inntas. I Årlig melding 2006, Strategisk fokus og Budsjett 2006, tydeliggjøres målbilde for virksomheten på en mer omfattende måte enn i rapporteringen for 2. tertial. Etter internrevisjonen syn er det viktig å peke på at det er disse målbildene som er basis i virksomhetsstyringen, og at det er risikovurdering, tiltak og oppfølging av disse som er sentrale elementer i Ledelsens gjennomgåelse. Risikoidentifikasjon I henhold til foretaksprotokollen pkt 4.2.1, 2. setning; Risikofaktorer som kan medvirke til at målene ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse, skal beskrives og rapporteres til Helse Øst RHF i tråd med etablerte rutiner for rapportering fra helseforetaket til Helse Øst RHF. I henhold til foretakets tilbakemelding til Helse Øst RHF om status for arbeidet med Kvalitetsstrategien , er det under punktet Risikovurderinger sagt følgende: UUS HF har utarbeidet prosedyre for risikovurdering på Nivå 1; denne er under implementering. Vi kan for eksempel nevne at Psykiatrisk divisjon har gjennomført risikovurderinger både innenfor pasientbehandling og annen virksomhet. Slik vi har forstått det, gjennomføres det ulike former for risikovurderinger på flere nivå i foretaket, herunder også på overordnet nivå i forbindelse med budsjettprosessen. Referatene fra Ledelsens gjennomgåelse (Sak ), har frem til nå synliggjort indikatorer og måloppnåelse, med beskrivelse av tiltak for røde lys -indikatorene. Det er imidlertid ikke foretatt noen risikovurdering knyttet til fremtidig måloppnåelse basert på informasjon som er tilgjengelig i foretaket (avvik, tilsyn, revisjoner), annen informasjon, erfaring eller i forhold til andre typer mål som kan være kryssende. Å identifisere risiko er nødvendig for å ta beslutninger om hvilke tiltak det er hensiktsmessig å iverksette for å bidra til at mål nås. Samtidig er risikovurderinger også et verktøy for å sikre prosesser slik at uønskede hendelser ikke oppstår. I referatet gis det også opplysninger om hvor mange avvik som er registrert av ulike kategorier, fra internt avvikssystem eller fra revisjoner og tilsyn. Imidlertid fremgår det ikke om denne informasjon benyttes i risikovurderingen av helseforetakets mål, om det er systemsvakhet som bidro til avviket og om det er risiko for gjentakelse slik at tiltak må Utformet av Internrevisjonen Helse Øst Side 5 av 9

6 iverksettes, eller om det er et enkelttilfelle som kun får konsekvenser for den som har forårsaket hendelsen. I Årlig melding 2006 pkt. 7 Internkontroll og styrets arbeid beskrives det arbeid som pågår for å videreutvikle kvalitetssystemet og ansvarsfordeling. Det gis også en oversikt over tilsyn og revisjoner med antall avvik/anbefalinger. I pkt. 7.1 beskrives bruk av Ledelsens gjennomgang for gjennomgang av internkontroll/kvalitetsarbeid. I pkt. 7.2 beskrives styrets arbeid og de viktigste sakene og i pkt. 7.3 gis en evaluering av egenvirksomhet og organisering. Til dels synliggjøres utfordringene i pkt. 7.3 når det gjelder organisering og areal. Imidlertid hadde internrevisjonen forventet at helseforetakets sa noe om hvordan internkontrollnivået er (systemmessig og innholdsmessig). Opplever ledelsen at internkontrollen er tilstrekkelig, gir styringssystemet gode nok signaler på hva som ikke fungerer, hvorfor og hva må gjøres og hvordan man bør prioritere. I Årlig melding vedlegg 3, pkt. 4 under Krav til internkontroll svarer helseforetaket: OK. Med bakgrunn i at opprinnelsen til dette kravet er foretaksprotokollen 4.2.1, skal det her knyttes en redegjørelse til om internkontrollen er sikret i tilstrekkelig omfang og på en systematisk måte, tilpasset risiko og vesentlighet med nødvendig ledelsesmessig forankring. Vider skal risikofaktorer som kan medvirke til at målene ikke nås, identifiseres og korrigerende tiltak beskrives og rapporteres. Som nevnt ovenfor hadde internrevisjonen forventet å se en sammenheng mellom pkt. 7 og dette punktet i vedlegget. Imidlertid har helseforetaket svart på at det er gjort men viser ikke hvordan og hvor det er dokumentert. Utarbeidelse av tiltak og oppfølging av disse Malen (vedlegg 4 i årlig melding) for Ledelsens gjennomgåelse er i hovedsak en mal for informasjonsinnhenting, og den omhandler i liten grad hvordan ledelsen skal vurdere og konkludere ut fra denne informasjonen. I møtene skal informasjonen bearbeides og det siste punktet i malen er ment å være hoveddelen av referatet, nemlig en oppsummering av mål med risiko for manglende måloppnåelse, tiltak og handlingsplaner for oppfølging (ref. tilsvarende foretaksprotokoll 4.2.1). For helseforetaket fremgår det av Ledelsens gjennomgåelse 2. tertial at det skal foretas tiltak for de indikatorene med røde lys, men det fremgår ikke konkret hvem som skal gjøre hva. Dersom det ikke foreligger spesifikke handlingsplaner vil det i praksis være vanskelig å følge opp om tiltak blir iverksatt og om de virker som forutsatt. Rapporten som inkluderer Ledelsens gjennomgang fra 2. tertial gir ikke noe tilbakeblikk på hvorvidt tiltak iverksatt etter gjennomgangen i 1. tertial har gitt resultater. Fra foretaksprotokollen, pkt vises til første linje hvor det står internkontroll er sikret i tilstrekkelig omfang. Tilstrekkeligheten av internkontroll i en virksomhet vurderes i forhold til hva virksomheten kan dokumentere og ha styring og kontroll med. Styringssystem er en beskrivelse av de elementer som inngår i dokumentert internkontroll, herunder også oppfølging av at det styringssystem som er etablert fungerer i praksis og ikke bare er organisasjonskart, prosedyrer, planer m.v., men at arbeidet (og ledelsen av det) utføres tilfredsstillende på alle nivå og at virksomheten er innrettet på en slik måte at uønskede hendelser i størst mulig grad unngås og måloppnåelse kan bli en realitet innenfor de viktigste områdene. I Forskrift for internkontroll i helse- og sosialtjenesten 5, er det nedfelt at internkontrollen skal dokumenteres i den form og det omfang som er nødvendig på bakgrunn av virksomhetens art, aktiviteter, risikoforhold og størrelse. Dokumentasjonen skal til enhver tid Utformet av Internrevisjonen Helse Øst Side 6 av 9

7 være oppdatert og tilgjengelig. Det er altså ingen fasit og utfordringen er å etablere hensiktsmessig dokumentasjon som gir tilstrekkelig informasjon. 2.2 Oppsummering og konklusjon Referatet fra Ledelsens gjennomgåelse 2. tertial 2006 viser at ledelsen har fokus på virksomhetskritiske forhold og at det er iverksatt tiltak for forbedringer. Slik det fremgår i statusrapporteringen benyttes verktøyet ledelsens gjennomgåelse på divisjonsnivå og i stor grad også på avdelingsnivå. I Årlig melding, pkt 7 om Internkontroll og styrets arbeid, beskrives arbeidet med Ledelsens gjennomgåelse og forbedringspotensialet i prosessen. Det synliggjøres ikke i samme prosess en samlet vurdering av internkontroll som kan gi svar på om den for hele eller deler av foretaket er sikret i tilstrekkelig omfang og på en systematisk måte, om den er tilpasset risiko og vesentlighet med nødvendig ledelsesmessig forankring i hele organisasjonen. Eierskap og fremdriftsplaner for de tiltakene som er iverksatt eller skal iverksettes i forhold til referatet fra Ledelsens gjennomgåelse 2. tertial fremgår ikke, og det er dermed vanskelig å se hvordan hver enhet skal bidra til forbedringer. Dette betyr ikke nødvendigvis at det ikke drives en strukturert og risikofokusert ledelse som ivaretar god internkontroll. Internrevisjonens poeng er at det ikke er mulig å ha en kvalifisert oppfatning av tilstanden når den ikke i tilstrekkelig grad dokumenteres. Helseforetaket er som sagt pålagt i internkontrollforskriftene og krav i foretaksprotokoll å dokumentere at det er foretatt en helhetlig risikovurdering, hvor risikoer og risikodempende tiltak er sett opp mot foretakets målbilde. Denne vurderingen (som også utgjør siste punkt i malen fra RHF) er hovedelementet i en overordnet virksomhetsrapportering som gir ledelse, styret og Helse Øst RHF mulighet til å se om deler av virksomheten ikke er underlagt tilstrekkelig styring og kontroll for å nå ønskede mål for helseforetaket. 2.3 Anbefalinger til helseforetaket I pkt. 2.2 Oppsummering, pekes det på mangler i forhold til å avgi en helhetlig vurdering av internkontroll/god virksomhetsstyring i dagens praktisering av Ledelsens gjennomgåelse. Internrevisjonen gir anbefalinger som er ment å bidra til at Ledelsens gjennomgåelse i større grad blir brukt som et ledelses- og styringsverktøy på alle nivå for egen nytte og for å bidra til at styret får ledelsens helhetlige vurdering av tilstanden i virksomheten. Det er viktig for oss å få frem at ledelsens gjennomgåelse er et ledelses- og styringsverktøy praktisert i ledermøter, og at malen som er vedlagt Kvalitetsstrategien er en mal hovedsaklig for innsamling av info som skal drøftes i møte, og i utgangspunktet ikke en rapporteringsmal. Den skal derfor ikke begrense innholdet i gjennomgangen men bidra til struktur som må tilpasses det enkelte ledernivå. Internrevisjonen anbefaler at det utarbeides en tiltaksplan i forhold til anbefalingene som viser hvordan foretaket vil arbeide videre for å sikre at internkontroll/god virksomhetsstyring utøves, følges opp og dokumenteres på tilstrekkelig slik at både ledelse og styret ivaretar sitt internkontrollansvar. 1. For å få Ledelsens gjennomgåelse til å fungere som en helhetlig og oppsummerende tilbakemelding/rapportering til styret på internkontroll/god virksomhetsstyring anbefaler internrevisjonen følgende: Utformet av Internrevisjonen Helse Øst Side 7 av 9

8 Helseforetaket bør fortsette å bruke den etablerte mal som utgangspunkt for å innhente de grunnlagsdata som er nødvendig for vurderingen av virksomhetsstyringen (ref egen prosedyre). Eventuelle behov for å innta ytterligere elementer for å sikre helhetlig fokus må vurderes individuelt. Ledelsens gjennomgåelse må gis innhold som overensstemmer med de mål og utfordringer som har hovedfokus i virksomhetsstyringen, dvs. der hvor det må settes inn ekstra krefter og innsats i form av tiltak som ikke er dekket i de normale driftsprosesser. 2. For å legge til rette for en systematisk gjennomgang, dokumentasjon og rapportering av risiko i helseforetaket, anbefaler internrevisjonen følgende: Et klart målbilde er avgjørende for god virksomhetsstyring. For å sikre oppfyllelse av krav til internkontroll og dokumentasjon av denne, bør helseforetaket kategorisere de mål som danner det overordnede målbilde for foretaket i dialogen som danner grunnlaget for Ledelsen gjennomgåelse, og som viser prioritet i forhold til målbilde overfor styret. Tilsvarende må gjøres på hvert ledernivå i forkant og kommuniseres til foretaksledelsen. En kvalitativt god risikovurdering på overordnet nivå er viktig for å kunne ta gode beslutninger i forhold til prioritering. Ledelsen bør iverksette systematisk innsamling av informasjon om de ulike former for risikovurderinger som foretas ute i virksomheten i dag, og synliggjøre hvordan disse vurderingene ses opp mot det overordnede målbilde til ledelsen. Ledelsen bør vurdere om det er nødvendig med ytterligere metodeopplæring og fasilitering av risikovurderingsprosesser i de deler av virksomheten der dette ikke er utført. Ledelsen bør også se nærmere på om det foreligger omforente kriterier som risiko vurderes ut fra, samt sørge for at det utarbeides og iverksettes tiltak der det er risiko for manglende måloppnåelse. Dette bør skje på en måte som gjør det mulig å benytte tiltaksplanene i Ledelsens gjennomgåelse. 3. For å legge til rette for en systematisk oppfølging av forbedringstiltak, anbefaler internrevisjonen: Ledelsen vurderer å legge inn i mal/prosedyre en utkvittering av tiltak utført i henhold til frist og evaluerer om det har bidratt til ønsket måloppfyllelse. Utformet av Internrevisjonen Helse Øst Side 8 av 9

9 3. Vedlegg 3.1 Innhentet informasjon Fra RHF et Driftsavtale inngått mellom Ullevål universitetssykehus HF og Helse Øst RHF 2006 Protokoll fra foretaksmøte i Ullevål universitetssykehuset HF9. februar.2006 Kvalitetsstrategi Status for arbeidet med kvalitetsstrategien og internkontrollen i bestillerdokumentet (Brev til Helse Øst RHF ). Fra HF et Organisasjonskart Oversikt over medlemmene i ledergruppa Driftsavtaler internt (fra før omorganisering) Fullmaktsmatrisen Retningslinjer: Styringssystem ved Ullevål universitetssykehus Instruks Styringsdialogen Ledelsens gjennomgang Ledelsens gjennomgang 2. tertial Saksgang og rapportbehandling Saksgang Mottaker/Info Dato Utsendelse av rapportutkast Administrerende direktør Tove Strand Kvalitetsdirektør Eva Bjørstad Tilbakemelding fra HF på utkast (note) IR Endelig revisjonsrapport til besvarelse Administrerende direktør for styrebehandling Behandling i styret for UUS HF styret Oversendelse styrebehandlet IR revisjonsrapport med svar fra HF et Fremleggelse for AD/KK Helse Øst Orientering om utsendt rapport RHF Fremleggelse for styret Helse Øst RHF Rapport med svar og protokoll fra styret i helseforetaket frem legges samlet som orienteringssak Note: Vi ber dere gjennomgå utkast til rapport og melde tilbake om administrerende direktør sier seg enig i fakta, vurderinger (herunder også formuleringer), konklusjoner og anbefalinger. Utformet av Internrevisjonen Helse Øst Side 9 av 9