Akkumulert risikovurdering oktober 2017 1 2 3 4 4 3 driftsstans i fagsystemene som følge av svakheter i løsning levert fra NHN (9) manglende gevinstrealisering av prosjekter (3) manglende etterlevelse av krav i databehandleravtalen (2) at selskapet ikke oppnår resultat i balanse i 2017 () feil håndtering av personopplysninger (1) forskjellsbehandling eller feil praksis(6) manglende leveranser etter virksomhetsoverdragelse (8) (Ny) at prosjekt Samkjøring ikke fullføres i samsvar med plan (rett tid, kostnad og kvalitet) (4) 2 at virksomhetsoverdragelsen ikke kan gjennomføres innen 01.01.18 (7) (Ny) 1 ustabilitet i systemene i en periode med implementering av nye og endringer i eksisterende fagsystemer(10)
Akkumulert risikovurdering Risikoelement Årsak til risiko Gjennomførte tiltak Planlagte tiltak 1 feil håndtering av person- og helseopplysninger Feil håndtering av personopplysninger som følge av manglende forståelse og etterlevelse av regelverk Personopplysninger kan komme på avveie Kan føre til brudd på gjeldende lovverk At informasjon ikke er tilstrekkelig tilgangsstyrt (er tilgangsstyring til systemene, men ikke tilstrekkelig segmentering innad i systemene) Usikkerhet om hvem som er ansvarlig for behandling av noen opplysninger kan medføre manglende oppfølging At det registreres opplysninger om helsetilstand eller diagnose i fagsystemer At opplysninger ikke slettes (opplysninger som ikke er nødvendige eller opplysninger som ikke bør være i systemene ) Kan medføre svekket omdømme Færre brukere i PRO 3.0 enn i PRO 2.10 og høyere grad av elektronisk innsending reduserer risikoen noe. Kompetanseheving om personvern og informasjonssikkerhet (allmøter, temauke om personvern, klasseromsundervisning, e- læringskurs og rådgivning) Opplæring for ressurspersoner i personverndirektivet Justering av bilag til databehandleravtalen med vedlegg i 201 for å sikre lovlig bruk av lokale systemer Oppretting av personverngruppe med fokus på personvern, internkontroll og IKT-sikkerhet Oppdatert styringssystem for informasjonssikkerhet Oppdatert NISSY, PRO og RADAR for å begrense bruk av personopplysninger Det gjennomføres en kartlegging av bruk av personopplysninger for å få oversikt over behandlinger virksomheten utfører i dag. Kartleggingen skal danne grunnlag innhold i databehandleravtalene og bidra til riktig behandling av personopplysninger Nytt spørsmål i kartlegging av praksis om personvern Styret er orientert i egne styresaker om personvern i juni og september 2017 Inngå nye og justere eksisterende databehandleravtaler Inngå nye databehandleravtaler med nye databehandlere (systemleverandører) Inngå nye databehandleravtaler med helseforetakene, for opplysninger de er ansvarlige for Oppdatere eksisterende databehandleravtaler som dekker den faktisk bruken av personopplysninger Bearbeide rutiner for etterlevelse av databehandleravtalene. Endret organisering Dedikert ressurs på personvern gjennom opprettelse av personvernombud/personvernansvarlig fra 01.01.18. Opprettholde nært samarbeid med utviklere Oppdatering av styringssystem Egen handlingsplan for å håndtere identifiserte risikoer Sikre at det gjennomføres risikovurdering av informasjonssikkerhet og personvern før nye prosjekter og systemendringer igangsettes. Nye og oppdaterte dokumenter i styringssystem for informasjonssikkerhet. Parallelt med at det oppdateres dokumenter, får ressurspersoner opplæring i regelverk og rutiner. 3 3 2
2 3 manglende etterlevelse av krav i databehandleravtalen manglende gevinstrealisering av prosjekter Kan føre til brudd på gjeldende lovverk Kan medføre svekket omdømme Feil håndtering av personopplysninger som følge av manglende forståelse og etterlevelse av regelverk PRK gjennomfører ikke nødvendig omstilling som optimaliserer gevinstene ved nye løsninger Manglende oppslutning til nye prosesser Utsatt gevinstrealisering knyttet i prosjekt CTRL og Samkjøringsprosjektet som følge av utsatt implementering av Samkjøringsprosjektet. Manglende gevinstrealisering som følge av begrensninger i dagens transportøravtalene Opplæring i regelverk for systemeiere PRO, NISSY, RADAR, TRAPEZE og CTRL Gjennomgang av eksisterende avtaler. Opplæring av ressurspersoner i personverndirektivet Gjennomgått dagens praksis for å fange opp behov for justeringer. Fast rapportering av gevinstrealisering til styret Etablere måling av gevinster per prosjekt (ikke kun samlet) Utført gevinstrealiseringsplaner som synliggjør de samlede gevinstene CTRL er ferdigutviklet og delvis tatt i bruk. Mine Pasientreiser er i full drift Utarbeidet anbefalinger til oppbygging og standardkrav til transportøravtaler Justere avtaler og etablere nye ved behov. Kartlegging av behandlinger med vekt på hvem som er ansvarlig for behandlingen, formålet med behandlingen og hjemmelsgrunnlaget for behandlingen. Utarbeide ny generell standardavtale. Kontakte helseforetakene og avklare ansvarsforhold for behandlinger. Inngå databehandleravtaler i tråd med avklarte ansvarsforhold. Videreføre arbeidet med å sikre ledelsesmessig oppfølging og forpliktelse til gevinster i linjen Videre oppfølging og samhandling med regionale pasientreisekontor Løpende oppdatering av anbefalinger til oppbygging og standardkrav til transportøravtaler Oppfølging av gevinstrealisering er en del av oppdraget til Pasientreiser HF gjennom oppdragsdokument 2017. 2 3 2 3 3
4 at prosjekt Samkjøring ikke fullføres i samsvar med plan (rett tid, kostnad og kvalitet) Forsinkelse som følge av: Ulik oppfattelse av krav i avtalen mellom Pasientreiser HF og Trapeze som ikke det blir enighet om Feil rettes ikke i tide av programleverandøren Ikke tilstrekkelig testressurser Manglende finansiering av prosjektet (avhenger av resultat av styrets vedtak i sak 24-2017: «Administrerende direktør gis fullmakt til å fullføre prosjektet innenfor de økonomiske rammene som fremgår av saken og under forutsetning av tilgjengelig finansiering i 2018») Hyppig oppfølging av systemleverandører Utenrettslig forliksavtale inngått med programvareleverandør Styrking av ressurser og kompetanse i prosjektledelse og intern organisering Løpende testing av leveranser fra programleverandøren Fulgt opp testing og ha r hatt fokus på elementer som blokkerer testing Iverksatt en ekstern kvalitetsgjennomgang av prosjektgjennomføringen (både status og fremdriftsplan) Sluttføre prosess for signering av tilleggsavtalen Vurdere konsekvenser og eventuelle tiltak i etterkant av kvalitetsgjennomgangen Fortsatt tett oppfølging av testing Fortsatt oppfølging av programvareleverandør for å sikre riktig ressurser og kapasitet til å gjennomføre nødvendig tilpasning og utvikling Dialog med pasientreisekontor for å bidra til at prosjektet prioriteres og sikrer god kvalitet i linjen. Finansiering av prosjektet løftes til eierne gjennom budsjettprosess 2018 3 at selskapet ikke oppnår resultat i balanse i 2017 Kan bli høyere driftskostnader som følge av at det er mer postinngang og større kostnader til utbetalingsblanketter enn budsjettert Økte kostnader som følge av forsinkelser i prosjekt Samkjøring og alternativ bestillerløsning Etablert handlingsplan med tiltak for å øke andelen elektroniske innsendte refusjonskrav. Egen oppfølging av prosjektgjennomføring. Se risiko nummer 4. Gjennomført en systemendring PRO 3.0 for å redusere bruken av utbetalingsblanketter Ny anskaffelse av banktjenester med mål om å redusere transaksjonskostnader 4 Gjennomføre etablert handlingsplan for å øke andelen elektroniske innsendte refusjonskrav og fortløpende vurdere nye tiltak. Administrerende direktør og styrets leder skal gå i dialog med eierne for å avklare premisser for finansiering av fullføring av prosjekt samkjøring og av nye oppgaver innen Reiser uten rekvisisjon, i tråd med styrets vedtak i sak 2-2017. Prosessorbedrende tiltak for å redusere omfang av manuelle prosesser i RuR 2 3
forskjellsbehandling eller feil praksis Regional praksis avviker fra nasjonal praksis på enkelte områder, både knyttet til regelverk og prosessforståelse. Uforutsigbart for pasienter og brukere hva de får dekket. Erfaringsmøter RMR (innspill og erfaringsdeling knyttet til brukerstøtte og regelverk). Erfaringsmøter RUR (innspill og erfaringsdeling knyttet til brukerstøtte, regelverk og praktisk anvendelse og prosess i PRO 3.0). Kontroll av vedtak. Det blir ukentlig gjennomgått ca 200 vedtak der vi undersøker om det er gjort systemfeil, feil i registreringstrinnet, feil i manuelltrinnet eller feil i saksbehandlingstrinnet. Denne rapporten sendes til lederne for oppfølging. Ukentlig ledermøte med regionslederne. Avklare juridiske spørsmål med juridisk nettverk. Nasjonal veileder er oppdatert og har fått forenklet brukerfunksjonalitet. Opplæring i form av mikrolæring, e- læring, webinarer og fagdager om pasientreiseforskrift en høsten 2017. Videreføre velfungerende tiltak. 3 3
7 at virksomhetsoverdragelsen ikke kan gjennomføres innen 01.01.18 Manglende fremdrift iht vedtatt fremdriftsplan for virksomhetsoverdragelsen Alle parter gjennomfører ikke aktiviteter iht plan Koordinerende møter med regionale ledere hver 14. dag Etablert internt mottaksprosjekt for å sikre leveranser Tett oppfølging av milepælsplan Fortløpende dialog med HR ved avgivende HF Videreføre etablerte tiltak Se egen styresak for flere detaljer. 3 2 8 manglende leveranser etter virksomhetsoverdragelse Ikke samsvar mellom overført kompetanse/ressurser og reelt behov Redusert service som følge av lang saksbehandlingstid på overtagelsestidspunktet. Reduserte leveranser som følge av manglende teknisk infrastruktur Redusert kvalitet i en overgangsfase som følge av nye systemer og etablering av ny, felles organisasjon/kultur Redusert medarbeidertilfredshet i en omstillingsfase Kartlagt hvilke ressurser som skal overføres Etablert en plan for å sikre: teknisk infrastruktur arbeidslokaler ivaretakelse av medarbeidere Utlyst en stilling som leder for regionale enheter for reiser uten rekvisisjon Tilbyr saksbehandlingsbistand og brukerstøtte for å redusere saksbehandlingstid Kartlegging av kompetanse av nye medarbeidere og sikre kompetanseheving, god veiledning og oppfølging der det er behov Etablere felles struktur, helhetlig prosessforståelse og samhandling Fokus på kontinuerlig forbedring på tvers av alle enheter Fokus på riktig ressursstyring for å redusere lang saksbehandlingstid Miljøskapende tiltak for å bli én organisasjon og skape en felles kultur 3 3 6
9 driftsstans i fagsystemene som følge av svakheter i løsning levert fra NHN Langvarig driftsstans i systemene ved en brann eller at applikasjonene på annen måte blir helt utilgjengelig Svært svekket omdømme Pasienter rekker ikke oppsatte timer Pasienter får ikke utbetalt reiseoppgjør iht SLA-krav NHN har gjennomført en risikovurdering som viser en svakhet i den fysiske sikringen i Tromsø. NHN har planlagt endringer i driftsstrukturen for å fjerne denne svakheten Pasientreiser HFfølger opp NHN gjennom tett dialog for å påse at denne risikoen følges opp med skisserte tiltak innen gitte frister Gjennomførte tiltak vurderes som tilstrekkelig som følge av at ny løsning er etablert i Oslo og alle de nye løsningene er flyttet ditt. Løsningene som fases inn i nye systemer vil samtidig fases ut i Tromsø, slik at det ikke vil være noen risiko ifm flytting av disse. Gjenværende komponenter som fremdeles må flyttes har lav risiko. Denne risikoen bortfaller når alle komponenter er flyttet/avviklet i Tromsø. Svært gode oppetider (iht SLA) på fagsystemene siste år viser at dette er godt ivaretatt. Etablerte tiltak vurderes som velfungerende og tilstrekkelige. 1 3 10 ustabilitet i fagsystemene i en periode med implementering av nye og endringer i eksisterende fagsystemer Manglende etterlevelse av SLAkrav Prioritering av drift gir reduserte muligheter for utvikling og kvalitetsforbedring av fagsystemene Utgår som følge av at det er ingen planlagt implementering i kommende risikoperiode. Ikke relevant å vurdere risiko for området nå. Området vil vurderes på nytt ved neste risikovurdering når prosjekt Samkjøring skal innføres, 1 1 7