Saksframlegg Referanse Saksgang: Styre Møtedato Styret Pasientreiser HF 30/10/2017 SAK NR 31-2017 Halvårlig risikovurdering, Pasientreiser HF per oktober 2017 Forslag til vedtak: 1. Styret tar fremlagte risikovurdering til etterretning. 2. Styret tar til etterretning at det er initiert tiltak for å redusere risikobildet og forutsetter systematisk oppfølging av disse tiltakene. Skien 23. oktober 2017 Marit Kobro Administrerende direktør
1. Administrerende direktørs anbefalinger/konklusjon Styret i Pasientreiser HF gjennomfører årlig to helhetlige risikovurderinger for foretaket. Siste risikovurdering ble behandlet 04.05.17 (sak 04-2017). I foreliggende sak behandles en risikovurdering for foretaket per oktober 2017 som viser at det er syv punkter i gul sone og ett i rød sone. Det er utarbeidet en egen tiltaksliste i tilknytning til risikovurderingen. Etablerte tiltak har hatt positiv effekt, og det vurderes at anførte tiltak vil bidra til å redusere risikobildet. Tiltakene vil bli fulgt opp suksessivt fremover. Ny risikovurdering vil legges frem for styret våren 2018. Administrerende direktør anbefaler at styret tar foreliggende risikovurdering til etterretning. 2. Faktabeskrivelse 2.1 Hva saken gjelder Styret i Pasientreiser ANS vedtok i sak 006/2010 praksis for selskapets arbeid med risikovurdering og risikostyring. Vedtaket innebar blant annet at det to ganger per år skal legges frem en helhetlig risikovurdering for styret. Siste styrebehandling var i april 2017. Ny vurdering er nå gjennomført i løpet av høsten 2017. Neste helhetlige risikovurdering skal legges frem for styret våren 2018. Foreliggende risikovurdering er basert på gjennomgang i Pasientreiser HF av aktuelt utfordringsbilde med basis i de oppgaver foretaket er tillagt. 2.2 Prosess og oppfølging av risiko høsten 2017 Det arbeides kontinuerlig med å utvikle risikostyringsverktøyet i Pasientreiser HF. Risikovurderingene er en del av foretakets halvårlige gjennomgang av intern styring og kontroll, ledelsens gjennomgang. I gjennomgangen blir alle vesentlige deler av virksomhetsstyringen belyst, noe som gir et godt beslutningsgrunnlag for ledergruppen til å vurdere status og eventuelle utviklingsbehov (tiltak) i organisasjonen. Ledelsens gjennomgang gir samtidig et godt grunnlag for videre oppfølging av virksomhetsstyringen i foretaket. Som tidligere blir tiltakene fulgt opp i avdelingsplaner og på den enkelte medarbeiders arbeidsplan. Tiltakene blir jevnlig fulgt opp på overordnet avdelingsnivå for å sikre god fremdrift og kvalitet i leveransene. 2.3 Nasjonal kartlegging av risiko på pasientreiseområdet Som et grunnlag for å kunne lage en årlig akkumulert risikovurdering av pasientreiseområdet, har det i 2017 blitt gjennomført en kartlegging av utfordringer ved alle pasientreisekontor og i Pasientreiser HF. Fokus er knyttet til informasjonssikkerhet og personvern, og tiltakene hvor Pasientreiser HF har ansvar, er dekket opp under risikopunkt 1 i foreliggende sak. Styret får presentert nasjonal risikovurdering som egen sak i desember. 2.4 Handlingsalternativer og hovedpunkter Samlet sett er det et noe redusert risikonivå sammenlignet med våren 2017. En risiko er fortsatt i rød sone og en risiko har fått redusert verdi i gul sone. To risikoer reduseres til grønn sone samtidig som det er kommet to nye risikoer i gul sone. I alt er det syv områder med moderat (gul) risiko og et område med høy (rød) risiko. I de følgende avsnittene beskrives risikoene. Risiko for feil håndtering av personopplysninger omfatter en samlet risiko for all bruk av personopplysninger. Risiko knyttet til personopplysninger har en høy iboende risiko i foretaket. Dette skyldes at håndtering av denne type informasjon i ulike sammenhenger er en vesentlig og integrert del av foretakets oppgaveportefølje. Det er gjennomført en rekke tiltak innenfor 2
området som har fungert etter hensikten, men det er fortsatt en rekke tiltak som er i prosess og dermed foreløpig ikke har fått full effekt. Omfanget av person- og helseopplysninger innen pasientreiseområdet i kombinasjon med et stort antall brukere gir en moderat risiko selv med alle gjennomførte tiltak. En situasjon med mange avtaleparter og brukere innebærer også at det kreves mye ressurser til å sikre riktig håndtering av personopplysningene. Det vises til styresak 05-2017 og 23-2017 for en særskilt utdyping av utfordringsbildet og tilhørende handlingsplan for å håndtere identifiserte risikoer. Risiko for manglende etterlevelse av krav i databehandleravtalen er et risikopunkt som fortsatt er vurdert som moderat. Denne risikoen handler om oppfølging av eksisterende avtaler og ikke manglene i avtalene som håndteres i foregående risikopunkt. Det er gjennomført en rekke tiltak som har hatt en positiv effekt for kompetanse om og etterlevelse av databehandleravtalene. En kombinasjon av høye krav, mange medarbeidere, turnover og høyt antall transaksjoner medfører at det fortsatt vurderes at risikoen for feil etterlevelse er moderat. Pasientreiser HF vil videreføre pågående tiltak for fortsatt å sikre riktig etterlevelse av databehandleravtalene. Arbeidet med revidering av databehandleravtalene i forbindelse med innføring av de nye systemer er påbegynt og vil fullføres i tråd med handlingsplan i sak 05-2017. Risiko for manglende gevinstrealisering av prosjekter er et risikoområde som fortsatt vurderes som moderat, men med lavere konsekvens og sannsynlighet enn tidligere. Mine Pasientreiser er i full drift. Gjennom virksomhetsrapporteringen er styret gjort kjent med den gode gevinstrealiseringen knyttet til Mine Pasientreiser. Det er likevel mulighet for større besparelser gjennom økt digitaliseringsgrad, hvor foretaket har iverksatt en rekke velfungerende tiltak. CTRL er ferdigutviklet og delvis tatt i bruk pr i dag. Mulighet for gevinstrealisering er avhengig av at systemet tas i bruk, noe som blant annet avhenger at transportøravtaler inneholder standardkrav, og at systemleverandørene til transportørene har tilpasset sine løsninger til CTRL. Noen helseforetak venter også med å ta i bruk CTRL i påvente av implementering av Trapeze, slik at fremdrift i prosjekt Samkjøring og alternativ bestillerløsning også vil påvirke muligheten for gevinstrealisering for CTRL. Risiko for at prosjekt Samkjøring og alternativ bestillerløsning ikke fullføres i samsvar med plan (rett tid, kostnad og kvalitet) er en risiko som fortsatt vurderes i høy (rød) sone. Risikoen er primært knyttet til forsinkelse som skyldes ulik oppfattelse av krav i avtalen mellom Pasientreiser HF og Trapeze som ikke det blir enighet om. Det vises her for øvrig til egen sak med status for dette prosjektet til styremøtet 30.10.17. Risiko for at foretaket ikke oppnår resultat i balanse i 2017 er en risiko som vurderes med moderat risiko og det er to risikoområder som har særskilt oppmerksomhet: 1. Større postinngang hittil enn budsjettert for reiser uten rekvisisjon gir høyere aktivitet og driftskostnader enn budsjettert. Det er iverksatt tiltak for å redusere postinngangen slik at aktiviteten blir iht. budsjett resten av året. Resultater etter sommeren viser at aktiviteten nå nærmer seg budsjett. 2. Konstatert forsinkelse i prosjekt Samkjøring og alternativ bestillerløsning medfører høyere prosjekt-, drift- og investeringskostnader i 2017. Dette er innarbeidet i prognosen for 2017. De økte kostnadene for pkt. 1 og 2 dekkes inn ved at budsjettert IKT-kostnader i 2017 (drift og avskrivninger) forskyves til 2018, som følge av at prosjekt Samkjøring og alternativ bestillerløsning iht. revidert plan først produksjonsettes i 2018. Ved regnskapsavleggelse 30.09 3
viser regnskapet inkl. tilleggstjenester et negativt avvik på 0,4 MNOK og oppdatert prognose viser et resultat i balanse Risiko for forskjellsbehandling av pasienter/brukere er vurdert på samme nivå som våren 2017. Det er noe ulik praktisering av regelverk og prosessforståelse. Arbeidet med kvalitet og likebehandling er et kontinuerlig arbeid. Det er implementert en rekke tiltak, og ukentlige gjennomganger av vedtak i RuR viser en positiv utvikling i antall feil og avvik. Omfanget er likevel foreløpig på et nivå som tilsier at sannsynlighet eller konsekvensen ikke er redusert nok til at risikoen kan senkes. Risiko for at virksomhetsoverdragelsen ikke kan gjennomføres innen 01.01.18 er definert som en ny risiko. For å sikre at foretaket er i posisjon til å gjennomføre virksomhetsoverdragelsen innen vedtatt dato er det etablert handlingsplaner og eget mottaksprosjekt i Pasientreiser HF. Avgivende virksomheter er tett involvert i arbeidet. Handlingsplanene innehar lite rom for endringer og aktivitetene i planen har mange sammenhenger på tvers av hverandre. Aktiviteter med leveranser fra avgivende virksomheter vil kun Pasientreiser HF kunne tilrettelegge for. Totalt vurderes risiko for at virksomhetsoverdragelse av regionale enheter for reiser uten rekvisisjon 01.01.18 som moderat. Risiko for manglende leveranser etter virksomhetsoverdragelsen er også definert som en ny risiko. Usikkerhet om Pasientreiser HF får tilstrekkelig kapasitet og kompetanse fra avgivende virksomheter er momenter som trekkes frem som sentrale for å opprettholde stabil drift og leveranser i tiden etter 01.01.18. Innspill knyttet til behovet for ressurser, volum- og effektivitetsvurderinger er i stor grad basert på input fra regionale enheter. Avvik i estimater fra regionale enheter mot faktiske behov vil således representere en risiko for faktiske leveranser og innspill til økonomiske rammer for nye oppgaver knyttet til virksomhetsoverdragelsen. Dagens situasjon knyttet til saksrestanser og saksbehandlingstid i enkelte regioner vil kunne representere en risiko som overtas av Pasientreiser HF fra og med 01.01.18 gitt at situasjonen ikke endres. Den totale risikoen for manglende leveranser etter virksomhetsoverdragelsen vurderes som moderat. Risiko for driftsstans i fagsystemene som følge av utfordrende driftstekniske tjenester som er levert fra Norsk helsenett (NHN) er et risikoområde som nå vurderes som lav. Gjennomførte tiltak vurderes som tilstrekkelig som følge av at ny løsning er etablert i Oslo og alle de nye løsningene er flyttet ditt. Løsningene som fases inn i nye systemer vil samtidig fases ut i Tromsø, slik at det ikke vil være noen risiko ifm flytting av disse. Komponentene som fremdeles må flyttes har lav risiko. Risiko for ustabilitet i fagsystemene i en periode med implementering av nye og endringer i eksisterende fagsystemer er en risiko som vurderes som lav. Det er i dag svært god oppetid for fagsystemene som selskapet er systemeier for. I kommende risikoperiode vil det ikke implementeres nye fagsystemer. Risikoen kan bli aktuell senere når Trapeze skal implementeres. 3. Administrerende direktørs vurderinger 3.1 Risikovurderinger Styret er ansvarlig for at det er etablert og gjennomføres internkontroll samt system for risikovurdering. Pasientreiser HF fremlegger nå en helhetlig risikovurdering for sitt ansvarsområde etter en god intern prosess. Systematisk fokus på forbedringsarbeid med risikostyringsprosess og prosessering i en egen intern arbeidsgruppe har bidratt til en positiv videreutvikling av kvaliteten på risikovurderingene. 4
Pasientreiser HF har vurdert syv risikoområder som moderat (gult) og et med høy (rød) risiko. Arbeidet med risikovurdering i den enkelte avdeling har som tidligere hatt høyt fokus siste halvår, spesielt knyttet til personvern, virksomhetsoverdragelsen og prosjektvirksomhet. Det anses som positivt at det er økt oppmerksomhet og økt bevissthetsnivå rundt temaet i de ulike avdelingene. Det oppleves at avdelingene arbeider godt med dette området og derigjennom bidrar til økt fokus på den samlede virksomhetsstyringen. Foreliggende risikovurdering ledsages av en tiltaksliste for å ta ned risikobildet. De anviste tiltakene vurderes å ville bidra til en reduksjon av risikobildet etter gjennomføring. Ny risikovurdering vil bli lagt frem for styret om et halvt år i henhold til praksis vedtatt i styresak 06-2010. 3.2 Konklusjon Det oppdaterte risikobildet kjennetegnes ved moderat risikonivå. Det er gjennomført en rekke tiltak for å redusere utfordrings- og risikobildet fra våren 2017. Etablerte tiltak har hatt positiv effekt. Det har samtidig skjedd en utvikling, spesielt knyttet til gjennomføring og implementering av prosjekt Samkjøring og alternativ bestillerløsning, personvern og virksomhetsoverdragelsen som gjør det nødvendig å supplere med nye tiltak. Oppfølging av skisserte tiltak til risikoene vil være høyt prioritert kommende halvår. Gjennomføring av nye tiltak vil bidra til å realisere målene for Pasientreiser HF i 2017. Arbeidet med risikovurdering og risikostyring vil fortsatt være et integrert ledd i styringen av foretaket og inngå som et ledd i god virksomhetsstyring. Trykt vedlegg: Akkumulert risikovurdering for Pasientreiser HF per oktober 2017 inkl tiltaksoversikt Utrykt vedlegg: Akseptkriterier i Pasientreiser HF (vedtatt i ledergruppe 16.02.16) 5