Saksframlegg Referanse Saksgang: Styre Møtedato Styret Pasientreiser HF 11/12/2017 SAK NR 43-2017 Kontrollstrategi for reiser uten rekvisisjon i Pasientreiser HF Forslag til vedtak: 1. Styret tar fremlagt sak om kontrollstrategi for reiser uten rekvisisjon til etterretning. 2. Styret tar forslag til justert organisering av arbeidet med kontrollstrategi reiser uten rekvisisjon i Pasientreiser HF til etterretning. Skien 04.desember 2017 Marit Kobro Administrerende direktør
1. Administrerende direktørs anbefalinger/konklusjon Implementering av ny prosess for pasientreiser uten rekvisisjon høsten 2016 innebar blant annet overgang til nytt fagsystem og høy grad av automatisering. Som en følge av dette er det utviklet en kontrollstrategi for området. Kontrollstrategien er inkludert i virksomhetens eksisterende internkontrollsystem. I styresak 45-2016 vedtok styret i Pasientreiser ANS en modell for forvaltning av kontrollstrategien med revidert sak til styret halvårlig. Høsten 2017 har internrevisjonen gjennomført en revisjon av kontrollstrategien som er presentert for styret i sak 43-2017. Revisjonen gir en rekke anbefalinger og foreliggende sak presenterer forslag til endringer i samsvar med anbefalinger gitt fra internrevisjonen. Som følge av at ansvaret for hele prosessen for reiser uten rekvisisjon blir samlet i Pasientreiser HF fra 2018, bør kontrollstrategien justeres for å reflektere dette. Internrevisjonen påpeker også at ansvaret for forvaltning av kontrollstrategien blir inkludert i Pasientreiser HF sitt eksisterende internkontrollsystem og administrerende direktørs ansvar Administrerende direktør mener foreliggende forlag til organisering av arbeid med kontrollstrategi vil være hensiktsmessig og effektivt. Pågående prosesser vil bidra til å optimalisere kontrollene, basert på faktabaserte erfaringstall og en vurdering av kostnad og nytteverdi. Det anbefales at styret tar forslag til vedlagte kontrollstrategi for prosess for reiser uten rekvisisjon til etterretning. 2. Faktabeskrivelse 2.1 Hva saken gjelder Styret i Pasientreiser ANS vedtok i sak 45-2016 kontrollstrategi for reiser uten rekvisisjon. Vedtaket innebar blant annet at kontrollstrategien skal revideres to ganger per år. Siste styrebehandling var i mai 2017. Ny vurdering er gjennomført i løpet av høsten 2017, i samsvar med vedtatt plan for forvaltning av kontrollstrategien. Pasientreiser HF skulle samtidig også gjøre en vurdering av fremtidig behov for form og frekvens for tilbakemelding til styret. Foreliggende sak oppsummerer arbeidet med kontrollstrategien siste halvår og det foreslås en justert forvaltning av kontrollstrategien. 2.2 Formål Formålet med kontrollstrategien er å sikre god internkontroll i den nasjonale prosessen knyttet til reiser uten rekvisisjon. Kontrollstrategien beskriver krav til god internkontroll, gir førende prinsipper for kontroll og risikobaserte kontrollaktiviteter som skal bidra til å realisere målene for løsningen: Enklere og lettere tilgjengelig løsning for brukerne Størst mulig grad av likebehandling Kostnadseffektiv oppgaveløsning og administrasjon Kontrollstrategien beskriver også roller og ansvar i forvaltningen av den nasjonale prosessen for reiser uten rekvisisjon. Risikovurderinger og kontrollaktiviteter beskrives i egne dokumenter med innsynsbegrensning for å sikre konfidensialitet til detaljerte kontrollaktiviteter. 2
Kontrollstrategien er bygget opp med følgende dokumenter: Figur 1: Kontrollstrategiens oppbygning 2.3 Prinsipper for kontrollstrategien Prinsippene for kontrollstrategien er basert på forarbeidene til pasientreiseforskriften 26 og øvrige førende dokumenter. Følgende prinsipper er lagt til grunn: 1 Likebehandling 2 Lik og riktig informasjon 3 Nasjonal og enhetlig 4 Samlet ansvar 5 Risikobasert tilnærming 2.4 Internrevisjon og forslag til ny forvaltning av kontrollstrategien Høsten 2017 har internrevisjonen gjennomført en revisjon av kontrollstrategien, kfr egen sak om dette til styremøtet 11.12.17. Forslag til endringer i denne saken samsvarer med internrevisjonenes anbefalinger og forslag til endringer. Det foreslås derfor at ansvar for forvaltning av kontrollstrategien blir inkludert i Pasientreiser HF sitt eksisterende internkontrollsystem og administrerende direktørs ansvar. Styret holdes informert via virksomhetsrapportering på avtalte KPIer og eventuelt som konkrete saker til styret ved behov. Hele området reiser uten rekvisisjon er fra 01.01.18 en del av Pasientreiser HF sin styringslinje og det vurderes at det etter virksomhetsoverdragelsen av regionale enheter ikke vil være behov for særskilte involveringsprosesser i samme grad som tidligere. 2.5 Mål og risikostyring Et av prinsippene i kontrollstrategien er at det skal være en risikobasert tilnærming. I Pasientreiser HF er målstyring, med prioritering av tiltak med grunnlag i en risikovurdering, en integrert del av foretakets virksomhetsstyring. I internrevisjonsrapport 1/2017 anbefales det at Pasientreiser HF «Etablerer identifikatorer som sikrer toveis sporing mellom risiko, kontrolloversikt og etablerte kontroller i fagsystemet.» Internrevisjonen anbefaler også at «Risikovurderingen knyttes til definerte mål. Risikovurderingen må ta høyde for både interne og eksterne trusler mot måloppnåelse. Pasientreiser HF definerer klare kriterier for vurdering av akseptabel risiko og hvem som beslutter dette. I de tilfeller risikoen ikke er akseptabel må sammenhengen med aktuelle kontrolltiltak komme tydelig fram.» Pasientreiser HF vil våren 2018 oppdatere mål, risikovurderinger og kontroller i samsvar med internrevisjonens anbefalinger. Det vil også gjennomføres en helhetlig vurdering av risikostyringsprosessen i foretaket, herunder sikre at det defineres tydeligere kriterier for akseptabelt risikonivå i foretaket og for kontrollstrategien. Styret vil involveres i prosessen. 3
2.6 Konfidensialitet Konkrete beskrivelser av risikovurderinger og kontrollaktiviteter knyttet til dette vil inneholde detaljer som, fra et mislighetsperspektiv, må holdes utenfor offentlighet. Det vil svekke kontrollstrategien om detaljene i kontrollene ble allment kjent. Foretakets kontrollstrategi er av denne grunn delt i ett hoveddokument, og to tilleggsdokumenter; ett dokument som beskriver risiko og ett som beskriver kontrollaktiviteter. Dokumentet som beskriver detaljerte kontrollaktiviteter har høyest konfidensialitet og vil kun være tilgjengelig for medarbeidere med særskilt behov. Dokumentet legges følgelig ikke ved styresaken. 2.7 Prosess for endringer av kontroller Det overordnede ansvaret for oppfølging av kontrollstrategien tilligger administrerende direktør i Pasientreiser HF. Prioritering av endringer skjer etter anbefaling fra en en tverrfaglig gruppe som skal sikre at ulike aspekter av en kontroll vurderes i forkant av at en ny eller justert kontroll. Disse vurderingene skal dokumenteres og skal gi et beslutningsgrunnlag for hvilke kontroller som skal justeres eller implementeres. Det vil skje løpende endringer i kontrollene. Endringer vil kunne skje som følge av hendelser, endringsønsker eller halvårlige analyser. Figur2: Forenklet illustrasjon av prosess for endring av kontroller 2.8 Arbeid med analyser Gode analyser er sentralt for å kunne vurdere eventuelle endringer av kontroller. Pasientreiser HF har etter et år med ny løsning i drift, fått et bedre grunnlag til å vurdere terskler og effekten av ulike kontroller. Analysene skjer i dag med grunnlag i manuelle uttrekk av data fra databasen, noe som er tidkrevende. Målet er å etablere standardiserte rapporter som henter ut relevant data og gjør at det blir enklere og mer effektivt å sammenligne de ulike kontrollene over tid. På denne måten kan de ulike kontrollene overvåkes mer løpende enn i dag, og Pasientreiser HF får et bedre faktagrunnlag for eventuelle endringer. Etablering av standardiserte rapporter vil skje i etterkant av at saksflyten i regelmotoren er effektivisert. Dette arbeidet er igangsatt og vil ferdigstilles i løpet av våren 2018. 3. Administrerende direktørs vurderinger Gjeldende kontrollstrategi bør justeres som følge av at ansvaret for hele prosessen for reiser uten rekvisisjon blir samlet i Pasientreiser HF fra 2018. Internrevisjonen påpeker også at ansvaret for forvaltning av kontrollstrategien bør bli inkludert i Pasientreiser HF sitt eksisterende internkontrollsystem og administrerende direktørs ansvar. 4
Administrerende direktør mener foreliggende forlag til organisering av arbeid med kontrollstrategi vil være hensiktsmessig og effektivt. Pågående prosesser vil bidra til å optimalisere kontrollene, basert på faktabaserte erfaringstall og en vurdering av kostnad og nytteverdi. Styret vil bli holdt orientert som beskrevet i saken. Det anbefales at styret tar forslag til vedlagte kontrollstrategi for prosess for reiser uten rekvisisjon til etterretning. Utrykt vedlegg: Hoveddokument Kontrollstrategi reiser uten rekvisisjon 5