Årsrapport 2014 Internrevisjon Pasientreiser ANS

Transkript

1 Årsrapport 2014 Internrevisjon

2 Innhold Internrevisjon Innledning Revisjonsoppdrag Miljøsertifisering etter standarden ISO om nødvendige dokumenter og prosesser er implementert i henhold til krav i standarden... 4 Formål og omfang... 4 Tidsrom for gjennomføring... 4 Funn og anbefalinger:... 4 Videre behandling av rapporten og Administrerende direktørs respons på arbeidet Revisjon av Intern styring og kontroll i tilgangsstyring og endringshåndtering i IT systemet Nissy 5 Formål og omfang... 5 Tidsrom for gjennomføring... 5 Funn og anbefalinger... 5 Årsrapport 2014 Side 2 av 6

3 1. Innledning Årsrapport 2014 skal gi styret for Helseforetakenes senter for pasientreiser ANS () en beskrivelse av revisjoner som er gjennomført i 2014, resultatet av disse, samt angi hvilke endringer eller utsettelser som er foretatt i forhold til revisjonsplanen. Internrevisjonen har i samsvar med revisjonsplanen for 2014 (styresak04/2014) arbeidet med to revisjonsoppdrag. Miljøsertifisering etter standarden ISO Dvs. vurdere om nødvendige dokumenter og prosesser er implementert i henhold til krav i standarden. Revisjon på utvalgt område, som det skal gjennomføres tiltak på, beskrevet i handlingsplan etter revisjon av tverrgående arbeidsprosesser. Det ble valgt ut å gjennomføre en revisjon av intern styring og kontroll knyttet til tilgangsstyring og test og utrulling av nye versjoner i IT systemet NISSY. Styret har i budsjettet for 2014 stilt til rådighet 0,25 mill kroner for gjennomføring av oppdragene nedfelt i revisjonsplanen. Den økonomiske rammen har vært tilstrekkelig. Internrevisjonen har i samsvar med revisjonsinstruksen hatt møter med hhv administrerende direktør og styreleder for for informasjonsutveksling og orientering om status for internrevisjonens aktiviteter i selskapet. Kommunikasjon og samhandling har vært preget av åpenhet og gjensidig tillit. Internrevisjonen har hatt tilgang til informasjon og personell i selskapet som det har vært behov for i gjennomføringen av arbeidet. Internrevisjonen i Internrevisjonen i arbeider i henhold til instruks fastsatt av selskapets styre og senere (sak 40). Formål Internrevisjonen er en uavhengig bekreftelses- og rådgivningsfunksjon som har til formål å bistå styret og ledelsen ved med å utøve god virksomhetsstyring gjennom vurdering av risikohåndtering og intern styring og kontroll. Organisering Internrevisjonen er organisert direkte under styret for og rapporterer til styret ved dets leder (faglig) og selskapets administrerende direktør (administrativt). Oppgaver Internrevisjonen skal utføre bekreftelseseller rådgivningsoppdrag for styret og administrerende direktør for Pasientreiser ANS i henhold til revisjonsplan, og for øvrig innenfor rammene for selskapets juridiske ansvar. Internrevisjonen skal gjennom sitt arbeid bidra til kvalitetsforbedring av selskapets interne styrings- og kontrollsystemer Internrevisjonen skal i utførelsen av funksjonen basere seg på de til enhver tid gjeldende etiske regler og standarder for profesjonell utøvelse av internrevisjon som er fastsatt av The Institute of Internal Auditors/Norges Interne Revisorers Forening. Kompetanse og ressurser Internrevisjonstjenestene til Pasientreiser ANS leveres av konsernrevisjonen Helse- Sør-Øst på bakgrunn av avtale inngått med. Internrevisjonens planer og ressurser fastsettes av styret for. Årsrapport 2014 Side 3 av 6

4 2. Revisjonsoppdrag 2.1 Miljøsertifisering etter standarden ISO om nødvendige dokumenter og prosesser er implementert i henhold til krav i standarden Formål og omfang Formålet med revisjonen er å avklare hva som gjenstår av arbeid med dokumentasjon og implementering av miljøstyringssystemet i forhold til kravene i ISO14001:2004. Pasientreiser har under utvikling et miljøstyringssystem som skal oppfylle kravene til sertifisering i henhold til ISO 14001:2004. Innen utgangen av 2014 skal være sertifisert i henhold til ISO14001:2004. Fokus for denne revisjonen har vært på i hvilken grad miljøpolitikk, miljøaspekter og miljømål er vedtatt av ledelsen, og om selskapet har et dokumentert og implementert et styringssystem i henhold til kravene i ISO Styringssystemet skal bidra til at politikken etterleves og miljømålene realiseres. Videre er det vurdert om dokumentasjon av obligatoriske og andre nødvendige prosedyrer er tilfredsstillende utformet, vedtatt og implementert i henhold til kravene i ISO Selskapets system for intern revisjon av miljøstyringssystemet er også vurdert. Følgende problemstillinger er undersøkt: I hvilken grad er systemets dokumentasjon i samsvar med kravene i ISO14001:2004? I hvilken grad er obligatoriske prosedyrer og rutiner iverksatt? I hvilken grad virker prosedyrene og rutinene som forutsatt? I hvilken grad er gjenværende risiko eventuelle gjenstående tiltak før sertifisering innenfor akseptabelt nivå? I hvilken grad har etablert et hensiktsmessig og effektivt system for oppfølging av miljøprestasjonene? Tidsrom for gjennomføring Oppdraget har vært gjennomført i perioden februar mars 2014 Funn og anbefalinger: Hovedkonklusjonen er at Pasientreisers arbeid med å etablere og implementere et sertifiserbart miljøstyringssystem har riktig innretning og god fremdrift. Miljøstyringssystemet begynner å ta form, og selskapet har opplegget klart for implementering. Internrevisjonen anbefaler at Pasientreiser vurderer å sette i verk følgende tiltak: Selskapets miljøpolitikk må bli tydeligere og mer forpliktende, og legges til grunn for arbeidet med å prioritere selskapets viktigste miljøaspekter, som bl.a. vil være papirforbruk, reiser, avfall, innkjøp. For de prioriterte miljøaspektene må det formuleres styrbare mål. Det er nødvendig med en tydeligere konkretisering og prioritering av de viktigste miljøaspektene. Deretter må det formuleres konkrete og styrbare mål for disse. Utformingen av prosedyrene anbefales kvalitetssikret på grunnlag av kravene i ISO Prosedyren for ledelsens gjennomgang anbefales formulert i samsvar med standardens krav. Internrevisor vurderer risiko forbundet med fullføring av sertifiseringsprosessen som lav. Årsrapport 2014 Side 4 av 6

5 Behandling av rapporten og Administrerende direktørs respons på arbeidet Endelig rapport er oversendt til Rapporten er behandlet på styremøte 10.mars 2014 (Sak 15/2014) og styrets vedtak ble følgende: 1. Styret tar fremlagt rapport fra internrevisjonen til etterretning. 2. Styret tar plan for oppfølging av rapporten til etterretning. Administrerende direktørs anbefalinger/konklusjon fremgår av styresaken. 2.2 Revisjon av Intern styring og kontroll i tilgangsstyring og endringshåndtering i IT systemet Nissy Formål og omfang Internrevisjonen har gjennomført en oppfølgingsrevisjon i forhold til anbefalinger og styrets vedtatte tiltaksplaner som fulgte av rapport 2/2013 på området tilgangsstyring NISSY. Målsetning for revisjonen har vært på i hvilken grad tiltakene er implementert, og fungerer etter hensikten, og om det er akseptabel risiko på revidert områder etter gjennomføring av tiltakene. I tillegg har internrevisjonen sett på test og release av nye versjoner i NISSY. Målsetning for revisjonen har vært på i hvilken grad virksomheten har gode prosesser for test og release av endringer som minimerer risiko for feil. Følgende problemstillinger er undersøkt: A. I hvilke grad har forbedret rutiner og manuelle kontroller for tildeling, endring og avslutning av tilganger i NISSY. B. I hvilke grad har gjennomgått tildelte tilganger og fjernet/korrigert uriktige tilganger. C. Revisjonen skal særskilt se på hvordan de planlegger, gjennomfører, tester og ruller ut nye endringer i NISSY. Prosjektet vil særskilt ta utgangspunkt i det arbeidet som er lagt til grunn i den forekommende leveransen av NISSY. Tidsrom for gjennomføring Oppdraget ble gjennomført i perioden november desember Funn og anbefalinger Det er observert mindre svakheter i styring og kontroll i prosessene som er kartlagt. Det bør settes i verk tiltak. Område A og B tilgangsstyring Hovedkonklusjonen på området er at styrets vedtatte tiltak er delvis fulgt opp. Det er ikke er etablert rutiner for håndtering av brukerkontoer, herunder systemadministratorer som er ansvarlig for. Internrevisjonen anbefaler at vurderer å sette i verk følgende tiltak: Årsrapport 2014 Side 5 av 6

6 og helseforetakene må drøfte risiko, behov og utarbeide felles prinsipper og rutiner for tilgangsstyring i NISSY. Arbeidet må gjerne bygge på anbefalingene til Administrerende direktør jfr. Sak Område C test og release Hovedkonklusjonen på området er at har jobbet godt med test og endringsprosedyrene siden 2011 da internrevisor anbefalte å forbedre test og endringsprosedyrene i virksomheten etter en gjennomgang av IKT området. Revisjonen har funnet noen mindre svakheter og forbedrings punkter som kan bidra til å forbedre prosessen ytterligere. Internrevisjonen anbefaler at vurderer å sette i verk følgende tiltak: Rutiner og prosedyrer må oppdateres ved organisasjonsendringer eller andre endringer i virksomheten. Vi anbefaler mer aktiv bruk av risikovurderinger. Vi anbefaler at legger inn et krav om å estimere omfang av arbeidmed produksjonssetting fra leverandørene. må etterleve, eller tilpasse egne rutiner hva gjelder beslutning om endringer i systemeierforum Rapporten skal behandles i egen sak til styremøtet Årsrapport 2014 Side 6 av 6