Konsernrevisjonen Helse Sør-Øst. Årsrapport 2009

Konsernrevisjonen Helse Sør-Øst Årsrapport 2009 Behandlet av revisjonskomiteen i Helse Sør-Øst RHF 25. januar 2010

INNHOLDSFORTEGNELSE 1. INNLEDNING... 3 1.1 RAMMEBETINGELSER - BEGRENSNINGER... 3 2. SAMMENDRAG... 3 3. REVISJONSKOMITEEN I HELSE SØR-ØST RHF... 6 3.1 INSTRUKS... 6 3.2 SAMMENSETNING OG ARBEIDSMÅTE... 6 4. KONSERNREVISJONEN HELSE SØR-ØST... 7 4.1 KONSERNREVISJONENS RESSURSER... 7 4.2 PLANPROSESS - REVISJONSPLAN FOR PERIODEN 2010-2013... 7 4.3 KONSERNREVISJONENS ARBEIDSMÅTE VED GJENNOMFØRING AV REVISJONER... 9 5. ÅRSRAPPORT RAPPORTERTE REVISJONER... 11 5.1 RESULTATET AV REVISJONER I PLANPERIODE 2009-2010... 11 5.2 RESULTATET AV REVISJONER GJENNOMFØRT I HELSEFORETAKENE I PERIODEN 2006-2009... 16 5.3 RESULTAT AV OPPFØLGING AV OPPSUMMERINGSRAPPORTER TIL HELSE SØR-ØST RHF FOR PERIODEN 2006-2009.. 18 6. ANDRE OPPGAVER... 18 VEDLEGG 1 SAMMENDRAG - OPPFØLGINGSOVERSIKT PR HELSEFORETAK - REVISJONER 2006-2009 19 VEDLEGG 2 SAMMENDRAG - OPPSUMMERINGSREVISJONER 2006-2009 HELSE SØR-ØST RHF... 31 Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 2 av 34

1. Innledning Konsernrevisjonens årsrapport for 2009 omhandler konsernrevisjonens arbeid i 2009 og oppfølging av revisjoner som ble gjennomført i perioden 2006-2009. I tråd med instruksens pkt. 6, konsernrevisjonens rapportering av resultat av revisjoner i 2009 sett i forhold til revisjonsplan. Rapporten viser resultatet av utført arbeid i revisjonsplanperioden, samt angir hvilke endringer eller utsettelser som er foretatt i forhold til revisjonsplanen Relevante styresaker behandlet av styret i Helse Sør-Øst RHF (RHF) 2009 for konsernrevisjonens arbeid: Sak 025-2009 Revisjonsplan 2009-2010 Sak 025-2009 Instruks konsernrevisjonen Helse Sør-Øst 1.1 Rammebetingelser - begrensninger I foretaksprotokoll 2005 stilte Helse- og omsorgsdepartements krav til de regionale helseforetakene om etablering av kontrollkomite (nå revisjonskomite) og internrevisjon. Internrevisjonen (nå konsernrevisjonen) har et gjennomgående ansvar for internrevisjon i helseforetaksgruppen. Det har med utgangspunkt i styrevedtak i Helse Sør-Øst RHF 6. februar 2008 sak 006-2008 vært rettet henvendelser til Helse- og omsorgsdepartementet om å bidra til å skaffe konsernrevisjonen tilstrekkelige rammebetingelser for utøvelse av internrevisjon i henhold til internrevisjonsstandardene. Med rammebetingelser menes her tilgang til taushetsbelagte pasientopplysninger som gjør det mulig å utføre gjennomgående internrevisjon i hele helseforetaksgruppen slik oppdraget i foretaksprotollen lyder. Konsernrevisjonen har heller ikke adgang til å innhente personopplysninger om de ansatte på helseforetakene som konsernrevisjonen har revisjonsansvar for. For å kunne gjennomføre sine oppgaver i tråd med formålet, er det etter styrets oppfatning viktig at det snarest etableres hjemmel i lov som sikrer internrevisjonene i de regionale helseforetakene innsynsrett i pasientopplysninger og rett til uthenting av personopplysninger fra helseforetakene. Dette temaet er tatt opp flere ganger med departementet, senest gjennom en formell henvendelse fra administrerende direktør i Helse Sør-Øst RHF på vegne av styret i Helse Sør-Øst RHF 11. april 2008. I departementets svar av 19. desember 2008 fremgår at det har merket seg behovet som beskrives i brevet og har under vurdering behovet for lovendring. Styret avventer departementets tilbakemelding. 2. Sammendrag Konsernrevisjonens formål er å bistå styret og ledelsen ved det regionale helseforetaket og helseforetakene med å utøve god virksomhetsstyring gjennom vurdering av risikohåndtering og internkontroll. Konsernrevisjonen skal bidra til kontinuerlig kvalitetsforbedring av interne styrings- og kontrollsystemer i foretaksgruppen. Sammendraget bygger på de revisjoner som er gjennomført i 2009 og resultatet av oppfølging av tiltak iverksatt for tidligere revisjoner. Virksomhetsstyring - generell vurdering For å kunne bidra til forbedringer gjennom revisjons- og rådgivningsoppdrag, er et godt samarbeid med administrerende direktør for Helse Sør-Øst RHF og hennes ledergruppe av stor betydning. I praksis foregår samhandlingen gjennom faste månedlige møter hvor det gjensidig informeres om status i konsernrevisjonens arbeid, det legges til rette for at konsernrevisjonen kommer inn på viktige møtearenaer og risikobildet drøftes som ledd i revisjonsplanleggingen. Administrerende direktør og/eller Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 3 av 34

viseadministrerende direktør deltar i møtene med revisjonskomiteen for å redegjøre for aktuelle temaer knyttet til virksomhetsstyringen og har en utvidet dialog med revisjonskomiteen når det gjelder risikostyringen og tiltak for å bedre styring og kontroll. Konsernrevisjonens utvikling og vekst kan i stor grad tilskrives det regionale helseforetakets ledelse og styrets vilje til å utvikle og stadig forbedre sin styring av foretaksgruppen, herunder viljen til å bruke konsernrevisjonens arbeid aktivt for å finne frem til og forbedre internkontroll og risikostyring i foretaksgruppen. Uten denne sterke viljen til å satse på internkontroll som virkemiddel for å oppnå målsettingene for spesialisthelsetjenesten, hadde konsernrevisjonen vanskelig vært i stand til å levere revisjoner i det omfang den har gjort. I tillegg har konsernrevisjonen gjennomført en revisjon av internkontroll i RHF et med særlig fokus på risikostyring. Hovedkonklusjonen var at det regionale helseforetakets internkontroll er vel etablert i forhold til de oppgavene det har ansvaret for. Det er ikke funnet alvorlige feil eller svakheter i intern styring og kontroll. Kun ett område ble definert som rødt og er knyttet til prosessbeskrivelser for kjerneog støtteområdene som ikke var på plass. De forbedringsområdene som er identifisert er fortløpende korrigert av administrerende direktør. Resultatet av revisjonen og iverksatte tiltak følges opp i dialog med administrerende direktør, herunder spesielt prosjektet for helhetlig virksomhetsstyring og oppfølging i Helse Sør-Øst RHF. Kort oppsummeres dette slik: Sterkt internkontrollfokus Administrerende direktør og styret for Helse Sør-Øst RHF har tillagt konsernrevisjonens arbeid stor vekt i arbeidet med å finne frem til, utvikle og forbedre internkontroll og risikostyring som del av virksomhetsstyringen. God eier- og virksomhetsstyring Administrerende direktør for Helse Sør-Øst RHF og styret for Helse Sør-Øst RHF ved revisjonskomiteen har god forståelse for prinsippene om god eier- og virksomhetsstyring. Det er stor bevissthet om hvilken rolle konsernrevisjonen skal ha som verktøy for både å se etter og bidra til forbedringer. Riksrevisjonen har gjennom dokument 3:2 og 3:3 pekt på hvor viktig internkontroll og risikostyring er for å oppnå god eier- og virksomhetsstyring. Revisjonsområder hvor forbedringer har gitt effekt Som ledd i konsernrevisjonens oppfølging av de tiltak som var besluttet gjennomført ved helseforetakene og det regionale helseforetaket ble det bedt om tilbakemelding på hvilke effekter de gjennomførte tiltakene har hatt. Selv om effekter i forhold til bedring av internkontrollen i de fleste tilfeller ikke er direkte målbare har helseforetakene uttrykt effekter av både kvantitativ og kvalitativ art. Revisjoner utført i første del av 2009 innenfor både Oslo universitetssykehus HF og Sykehuspartner var av proaktiv karakter og forbedringer ble foretatt løpende av de prosjektene som ble underlagt revisjon og vil ikke være overførbare til direkte effektmåling i ettertid. For revisjoner gjennomført i 2009 er den meldte effekten av TNF-hemmer revisjonen (Revisjon av etterlevelsen av gjeldende retningslinjer forskrivning, kjøp og fakturering av TNF-hemmere og andre biologiske betennelsesdempende legemidler innen revmatologi, gastroenterologi og dermatologi) at den bidro til å skape kunnskap om området og forbedring av dokumentasjon og oppfølging av behandling i klinisk praksis som er i tråd med nasjonale retningslinjer. På regionalt nivå ble det utarbeidet en egen oppfølgingsplan for observasjoner av regional karakter. Arbeidet vil ha relevans og betydning også for Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 4 av 34

eventuelle nye grupper legemidler som overføres til helseforetaksfinansiering (behandlet i styret i Helse Sør-Øst RHF, sak 083-2009). For revisjoner gjennomført i perioden 2006-2007 i viser tilbakemeldingene fra helseforetakene og det regionale helseforetaket at de tiltak som har vært iverksatt har gitt effekt, direkte eller indirekte, i forhold til å skape bedre styring og kontroll. Oppfølging av tiltak vedtatt etter Revisjon av Ledelsens gjennomgåelse risikovurdering viser at dette verktøyet har utviklet seg fra å være en rapportering til å bli benyttet som et ledelsesverktøy og som ledd i risikostyringen. For revisjon av forskning viser oppfølgingen at det har vært høyt fokus på å skape forbedringer i internkontrollsystemet knyttet opp til forskningsprosjektene. Det har også kommet nytt lovverk i perioden som stiller helt eksplisitte krav til viktige internkontrollelementer som rolle, ansvar og oppgaver, hvilket var et tema som revisjonen også fokuserte sterkt på. For revisjon ventetid Barne- og ungdomspsykiatri (BUP) er det foretatt ny oppfølging av om alle tiltak har blitt iverksatt i tråd med vedtatte handlingsplaner og om det har gitt positiv effekt. Eksempel på tilbakemelding: Iverksatte tiltak har gitt forbedring. Mål for ventetid er innfridd og er nå under gjennomsnitt 60 dager. Dette bekreftes også av offisielle data om utviklingen i ventetider. Revisjonsområder hvor forbedringer ikke har gitt forventet effekt Oppfølging av revisjon av innkjøpsområdet fra 2007-2008 viser at med få unntak har både helseforetakene og det regionale helseforetaket fortsatt utfordringer når det gjelder å etablere og gjennomføre internkontrolltiltak som bidrar til måloppnåelse og etterlevelse av gjeldende lovverk. Bekreftelse på dette utfordringsbildet er også gitt gjennom revisjon av innkjøpsområdet ved Sykehuset Innlandet HF som ble avsluttet og rapportert på i 2009. Det er dessuten ikke fullt ut utviklet systemløsninger som bidrar til at det kan foretas en tilstrekkelig og god rapportering på de vedtatte måleparametrene, KPI ene. Fra Helse Sør-Øst RHF sin side fremholdes det at oppfølging av helseforetakene gjennom at det nå er satt styringskrav på området er svaret på mye av dette. Gode resultater i forhold til styringskrav vil være vanskelig å oppnå uten at det drives gjennomgående virksomhetsstyring for å sikre at det innenfor et HF følges opp at de fullmakter som er gitt i forbindelse med innkjøp overholdes. Dette er den største utfordringen og som medfører at effekt av tiltakene uteblir (avtalelojalitet, gevinstrealisering etc.) i helseforetak. RHF et velger å konsolidere i 2010 samt sikre god gjennomføring på iverksatte tiltak for å måle effekt. Fokus fremover for konsernrevisjonen er å se etter om det sikres oppfølging av helseforetakenes implementering av vedtatt handlingsplan for innkjøps- og logistikkområder, herunder helseforetakenes oppfølgingsregimer. Det bør videre ses nærmere på Sykehuspartners oppgaver knyttet til støtte innenfor koordinering av anbud, kontraktsforvalting og vedlikehold av varekataloger. Til slutt bør det ses nærmere på helseforetakenes arbeid med å implementere retningslinjene for fullmakter som trådte i kraft 1.1.2009. For revisjon Dokumentflyt i pasientarbeidet/henvisningsrutiner viser oppfølgingen både i forhold til helseforetakene, men også i forhold til det regionale helseforetaket, at dette forbedringsarbeidet ikke vil være avsluttet med forventede forbedringer før Meldingsløftet er fullført. Dette forutsetter også at dette prosjektet inkluderer elektronisk kommunikasjon mellom helseforetakene. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 5 av 34

Det ble gitt seks anbefalinger til det regionale helseforetaket som var relatert til de utfordringene som ikke helseforetakene hver for seg kan løse, og det er utarbeidet handlingsplan som er styrebehandlet. I forhold til vedtatt handlingsplan gjenstår det å sette i verk to tiltak. Dette gjelder tiltak som krever løsninger av elektronisk og teknologisk art. Arbeidet med å etablere løsninger for rask og hensiktsmessig informasjonsutveksling mellom helseforetak er satt på dagsorden, men løsningene er så langt ikke etablert og implementert. Innhenting av styringsdata for henvisningsområdet er avhengig av teknologiske løsninger som så langt ikke er etablert. Konsernrevisjonen vil ha et fortsatt fokus på området, om tiltak iverksettes og har forventet effekt. Revisjon av tiltak for å oppnå eiers krav til økonomisk balanse er gjennomført i tre helseforetak. Oppfølging av iverksatte tiltak og effekt av disse viser at området har fått stort fokus. Andre tiltak enn de foretaksspesifikke innenfor dette området har vært det regionale helseforetakets oppfølgingsregime, samt tiltaket Krafttaket som ledd i fokus på balanse. Resultatet av revisjonene som i sin tilnærming har et økonomi- og virksomhetsstyringsfokus, forutsatte tiltak både på kort sikt (for budsjettåret) og på lang sikt for å sikre et tilfredsstillende internkontrollsystem som basis for virksomhetsstyringen. Oppfølgingen viser at det fortsatt gjenstår arbeid med tiltakene for å sikre varig effekt og robusthet i styringssystemet. 3. Revisjonskomiteen i Helse Sør-Øst RHF Revisjonskomiteen i Helse Sør-Øst RHF er konsernrevisjonens oppdragsgiver som gjennom instruks fra styret i Helse Sør-Øst RHF er gitt de nødvendige fullmakter til å utøve oppdragsgiverrollen. 3.1 Instruks I instruks vedtatt av styret i Helse Sør-Øst RHF 15.10.2008 fremgår det av 1 hva som er formålet med revisjonskomiteen; Styrets revisjonskomité (Revisjonskomiteen) er et underutvalg av styret i Helse Sør-Øst RHF, og har som formål å bidra til å ivareta styrets tilsyns- og kontrollfunksjon i forhold til virksomhetsstyringen gjennom å foreta særskilte vurderinger av utvalgte saksområder innen foretaksgruppen og rapportere tilbake til styret. Revisjonskomiteen skal se etter at foretaksgruppen i Helse Sør-Øst har en uavhengig og effektiv ekstern og intern revisjon. Instruksen inneholder videre oversikt over oppgaver komiteen har ansvar for i forhold til sin funksjon, både i forhold til administrasjonen, til konsernrevisjonen og til ekstern revisor. Direktør konsernrevisjonen er sekretær for revisjonskomiteen. 3.2 Sammensetning og arbeidsmåte Revisjonskomiteen består i dag av fire medlemmer; Leder Harry Konterud, Morten Falkenberg, Kirsten Huser Leschbrandt og Anne Marie Bagstad Jøranli. Det er avholdt fire ordinære møter og et ekstraordinært møte i forbindelse med behandling av årsregnskapet i 2009. Revisjonskomiteen har behandlet saker som har vært knyttet til ny instruks for internrevisjonen, revidert revisjonsplan 2009-2010 og budsjett for 2010, samt konsernrevisjonens løpende aktiviteter med hensyn til planlegging, gjennomføring og rapportering av revisjoner i henhold til revisjonsplan. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 6 av 34

4. Konsernrevisjonen Helse Sør-Øst 4.1 Konsernrevisjonens ressurser Konsernrevisjonen bestod i 2009 av 7 ansatte, som er en økning fra 5 ansatte i 2008. Av disse har 4 kontorsted i Hamar, 2 i Oslo og 1 i Skien. Styret i Helse Sør-Øst RHF besluttet i 2008, sak 070-2008, at konsernrevisjonen skal utvides for i enda større grad å kunne ivareta rollen som uavhengig og gjennomgående internrevisjonsfunksjon i foretaksgruppen. Utvidelsen skal skje gradvis frem til 2012 gjennom en desentral organisering av konsernrevisjonen og hvor internrevisorer plasseres i tilknytning til sykehusområdene. I første omgang ved Oslo universitetssykehus HF og Vestre Viken HF. Den lokale avdelingen av konsernrevisjonen ledes av revisjonsdirektør Karl-Helge Storhaug, nestleder og stedfortreder for direktør konsernrevisjonen. Konsernrevisjonen har dessuten med basis i foretaksprotokoll, mulighet til innleie av faglig bistand fra helseforetakene ved behov. I tillegg er det etablert rammeavtaler med Deloitte, KPMG og Ernst & Young om levering av internrevisjonstjenester ved behov. Konsernrevisjonen kjøpte i 2009 tjenester fra de eksterne leverandørene for ca 2,5 mill. kroner. Konsernrevisjonen har 3 hovedprosesser i sitt årshjul. Hovedprosessene er: Planprosess med strategisk og operativt fokus Gjennomføring av oppdrag (planlagte revisjoner, ad hoc-oppdrag og rådgivningsoppdrag) Årsrapport - avrapportering i forhold til plan Konsernrevisjonens oppgaver er beskrevet i instruks godkjent av revisjonskomiteen 26.februar 2009. Planlagte revisjoner har til formål å gi styret en objektiv og uavhengig bekreftelse på om det er etablert og gjennomføres god intern kontroll som ledd i virksomhetsstyringen. Konsernrevisjonen legger stor vekt på dialog om funn fra revisjonene, og at årsaker og konsekvenser av svakheter i intern styring og kontroll drøftes med den reviderte. Gjennom dette oppnås sterkere forståelse for hvilke tiltak den reviderte bør sette i verk for å redusere risiko for manglende måloppnåelse, lovetterlevelse og upålitelig styringsinformasjon. Tidsforbruket knyttet til disse utgjør cirka 85 % av totale ressurser. Rådgivningsoppdrag er veiledende i sin natur og blir vanligvis utført planmessig på konkret forespørsel fra en oppdragsgiver. For 2009 har konsernrevisjonen ikke hatt planmessig rådgivningsoppdrag, men gitt råd på forespørsel på saksnivå i relasjon til internkontroll og risikostyring. Denne form for løpende rådgivning har over tid økt i omfang. I tillegg til hovedprosessene og de aktiviteter som følger av disse, bruker avdelingen de øvrige 15 % av ressursene på administrative oppgaver, samhandling med internt kontaktforum og det regionale internrevisorforumet, kompetanseutvikling og faglig engasjement. 4.2 Planprosess - revisjonsplan for perioden 2010-2013 Vurderingskriteriene for konsernrevisjonen ved utøvelse av interne revisjoner avledes fra styrende dokumenter fra eier, de eksplisitte forskriftskrav for internkontroll og andre relevante lov- eller Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 7 av 34

forskriftskrav, styrevedtak, strategier og handlingsplaner, samt prinsipper for god internkontroll slik disse er nedfelt i anerkjente internkontrollrammeverk som bl.a. COSO ERM 1. Revisjonskomiteen fatter beslutning om hvilke områder/tema som konsernrevisjonen skal prioritere revisjoner av. Hovedformålet for alle revisjoner er på vegne av styret å se etter om det er etablert en tilfredsstillende internkontroll og risikostyring som sikrer god virksomhetsstyring innenfor de deler av virksomheten revisjonen omfatter. Direktør for konsernrevisjonen har dialog med administrerende direktør for RHF et i faste møter gjennom året. Risikostyring er ett av temaene som kommuniseres. I forbindelse med planprosess 2010-2013 har konsernrevisjonen lagt opp til dialog med konserntillitsvalgte, brukerutvalget, ledergruppa i RHF et, styrelederne, faggruppene, direktørene og ledergruppene i helseforetakene/sykehusene og konsernrevisjonens kontaktpersoner i helseforetakene (HF-kontaktforum). Dialogen omhandler risikobildet for hele virksomheten og hvilke tiltak som iverksettes som en del av virksomhetsstyringen. I dialogen ønskes det fokus på følgende: Er det kjente svakheter i internkontrollen 2 i dag? Har svakhetene fått konsekvenser for: gjennomføring og/eller kvalitet i pasientbehandlingen? oppfyllelse av krav og føringer for strategisk utvikling som er gitt av eier/styret? økonomistyring og oppfyllelse av krav om økonomisk balanse? Er det besluttet tiltak for å utbedre svakhetene og hva er i så fall status for dette arbeidet? Er det forhold en er usikker på om fungerer som forutsatt? I så fall hvilke? I hvilken grad kan dette innvirke på helseforetakets evne til gjennomføring og/eller kvalitet i pasientbehandlingen? oppfyllelse av krav og føringer for strategisk utvikling som er gitt av eier/styret? økonomistyring og oppfyllelse av krav om økonomisk balanse? Hvilke målområder relaterer svakheter og usikkerhetsmomenter seg til? Med dette menes de 6 målområdene som er nedfelt i plan for strategisk utvikling av foretaksgruppen, samt mål for 2010: Målområde 1 - Pasientbehandling Målområde 2 - Forskning Målområde 3 Kunnskapsutvikling og god praksis Målområde 4 Organisering og utvikling av fellestjenester Målområde 5 Mobilisering av medarbeidere og ledere Målområde 6 Bærekraftig utvikling gjennom god økonomistyring 1 Enterprise Risk Management Integrated Framework, Committee of Sponsoring Organizations of The Treadway Commission (2004) 2 Med intern kontroll menes de prosesser, systemer og rutiner som er igangsatt av ledelse og ansatte for å gi rimelig sikkerhet for at virksomheten har en målrettet og effektiv drift, rapporterer pålitelig styringsinformasjon og etterlever lover og regler. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 8 av 34

Helseforetak Akershus universitetssykehus HF Oslo universitetssykehus HF Psykiatrien i Vestfold HF Sunnaas sykehus HF Sykehuset i Vestfold HF Sykehuset Innlandet HF Sykehuset Telemark HF Sykehuset Østfold HF Sørlandet sykehus HF Vestre Viken HF Sykehusapotekene HF Andre Oversikt målområdene 4.3 Konsernrevisjonens arbeidsmåte ved gjennomføring av revisjoner Konsernrevisjonen baserer sitt arbeid på etiske regler og faglig anerkjente standarder for utøvelse av intern revisjon som er utgitt av The Institute of Internal Auditors (IlA) og som i Norge målbæres av Norges Interne Revisorers Forening (NIRF). En ordinær intern revisjon består som oftest av fire faser: Planlegging av oppdraget I denne fasen vurderer konsernrevisjonen risiko på området som skal revideres, utleder målsettinger og fastsetter metodisk angrepsvinkel. Den som revideres vil motta et brev hvor det varsles om revisjonen, dvs. formålet, tid for gjennomføring, informasjon som bes oversendt m.v. Kartlegging og vurdering av internkontroll I kartleggings- og vurderingsfasen samles det inn informasjon gjennom dokumentstudier, spørreundersøkelser og dialog med ledere og medarbeidere. Konsernrevisjonen kombinerer flere metoder for å undersøke om ledelses- og styringssystemer sikrer tilstrekkelig internkontroll. Eksempler kan være dokumentgjennomgang, samtaler, dialogmøter, spørreundersøkelser, stikkprøver m.v. Observasjoner blir vurdert opp mot fastsatte kriterier for god internkontroll og risikostyring. Kriteriene er utarbeidet med bakgrunn i RHF ets virksomhetsstyring (mål- og resultatstyringen). Med virksomhetsstyring menes prosessene og aktivitetene som RHFet gjennomfører for å sette mål og definere oppgaver for å nå målene, å måle resultater mot målene og bruk av informasjonen til å ha styring, kontroll og læring for å utvikle og forbedre virksomheten. En effektiv virksomhetsstyring forutsetter at det er etablert en god intern kontroll i virksomheten som kan bidra til å forhindre styringssvikt, feil og mangler. Med intern kontroll menes prosesser, systemer og rutiner igangsatt av ledelsen og de ansatte for å gi rimelig sikkerhet for at RHFet når sine målsettinger innenfor følgende kategorier : Målrettet og effektiv drift Pålitelig styringsinformasjon og Etterlevelse av lover og regler Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 9 av 34

Et bærende prinsipp er at den interne kontrollen bør tilpasses den risiko og egenart som gjelder for virksomheten. Å fastsette et tilstrekkelig og hensiktmessig opplegg for intern kontroll innebærer derfor at det gjennomføres prosesser for å identifisere og håndtere risiko, dvs. risikostyring. Med risikostyring menes prosesser som gjennomføres av styret, ledelsen og ansatte, anvendt i fastsettelse av strategi og på tvers av virksomheten, for å identifisere potensielle hendelser som kan påvirke virksomheten og for å håndtere risiko slik at den er i samsvar med virksomhetens aksepterte risikonivå, for å gi rimelig grad av sikkerhet for virksomhetens måloppnåelse. Risikostyring kan dermed beskrives som en praktisk tilrettelegging av en metode for å ivareta kravene om etablering og gjennomføring av intern kontroll som beskrevet i foretaksprotokollen av 24. januar 2008. Sammenhengen mellom virksomhetsstyring, intern kontroll og risikostyring: Virksomhetsstyring - mål- og resultatstyring som styringsprinsipp Intern kontroll - en forutsetning for god virksomhetsstyring Nasjonal helseplan Foretaksprotokoll Oppdragsdokument Oppfølging Tiltak for å ha styring og kontroll Risikostyring Internt miljø Følge opp Krav/føringer Styring av risiko - metode for å identifisere/vurdere/håndtere risiko Gjennomføre Planlegge 1. Identifisere målsettinger 2. Identifisere risiko og muligheter 3. Vurdere/prioritere risiko 4. Fastsette tiltak for å håndtere risiko/utnytte muligheter Kommunikasjon av resultater Funn fra gjennomgangen blir kommunisert og drøftet med administrerende direktør og ledelsen ved helseforetaket som revideres. Hensikten er å sikre at konsernrevisjonen har korrekt beskrivelse av faktisk tilstand for internkontrollen, og at det i størst mulig utstrekning oppnås et omforent syn på hvilke forbedringer som bør settes i verk for å styrke intern styring og kontroll. Gjennom dialog og samhandling med administrerende direktør, er det videre et mål i denne fasen å bidra til forbedring i den interne styring og kontroll ved at kunnskap om årsaker og konsekvenser av feil, svakheter og mangler i internkontrollen omsettes til systematiske forbedringstiltak. Rapportutforming og styrebehandling Utkast til rapport sendes til den reviderte enhet for å sikre at eventuelle faktiske feil rettes opp. Samtidig får den reviderte enhet anledning til å komme med presiseringer og/eller gi tilleggsinformasjon som kan ha betydning for konsernrevisjonens vurderinger og konklusjoner. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 10 av 34

Etter dette utarbeides det en endelig rapport som sendes administrerende direktør i helseforetaket for videre behandling i helseforetakets styre. Konsernrevisjonens rapporter til helseforetakene legges frem for revisjonskomiteen når lokal styrebehandling er gjennomført og handlingsplan er vedtatt. Revisjonskomiteen informerer styret for Helse Sør-Øst RHF. Revisjonsrapporter til Helse Sør-Øst RHF sendes administrerende direktør i Helse Sør-Øst RHF og behandles i styret for Helse Sør-Øst RHF. 5. Årsrapport rapporterte revisjoner Konsernrevisjonens årsrapport skal gi styret i Helse Sør-Øst RHF en beskrivelse av gjennomførte revisjoner, resultatet av disse og om det er gjennomført revisjoner i tråd revisjonsplan. Revidert revisjonsplan for perioden frem til mars 2010 ble vedtatt av revisjonskomiteen og fremlagt for styret i sak 025-2009. Konsernrevisjonen har gjennomført revisjonene i 2009 i henhold til den reviderte planen med unntak av at revisjon planlagt utført ved Akershus universitetssykehus HF som er utsatt til 2010. Resultatet av avsluttede revisjoner er fremlagt styret. Fortsatt pågår det revisjoner innenfor planperiode 2009-2010. Kapitel 5 inneholder: I pkt. 5.1 omtales revisjoner gjennomført i planperiode 2009-2010 hvor revisjonsrapport er oversendt revidert enhet og hvor arbeid pågår for å iverksette vedtatte tiltak til forbedring. I pkt. 5.2 vises oversikt over resultat av revisjoner utført i helseforetakene i perioden 2006-2009 og hvor konsernrevisjonen som ledd i revisjonsprosessen har gjennomført oppfølging ved innhentelse av status i forhold til gjennomførte tiltak og effekt. I pkt. 5.3 vises oversikt over oppfølging av oppsummeringsrapporter til Helse Sør-Øst RHF for perioden 2006-2009 og hvor det på tilsvarende måte som for helseforetakene er gjennomført oppfølging. I pkt. 5.4 vises sammendrag av konsernrevisjonens vurderinger. 5.1 Resultatet av revisjoner i planperiode 2009-2010 I dette kapitlet gjengis resultatetene av revisjoner som er rapportert i siste del av 2009 og hvor tiltak i tråd med styrevedtatte handlingsplaner er under gjennomføring. Sykehuset Innlandet HF Revisjon av innkjøpsområdet Revisjonsrapport er fremlagt for styret i Sykehuset Innlandet første gang 16. juni 2009, sak 036-09 og i sak 054-09 ble handlingsplanen vedtatt. Revisjonen viste at helseforetaket ikke hadde lyktes med å få til forventet effekt av tiltak vedtatt gjennomført etter revisjon av dette området i 2006. Revisjonen viste at det er behov for forbedringstiltak, for å styrke internkontrollen innenfor følgende 5 områder: Økt bevissthet knyttet til fullmakter for anskaffelse av varer og tjenester, og etterlevelse av det regelverket som er lagt til grunn for fullmaktsbruken. Økt fokus på mål innenfor innkjøpsområdet og gjennomgående handlingsplaner innenfor alle deler av helseforetaket. Bruk av risikostyring som verktøy for å sikre bedre internkontroll og fokus Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 11 av 34

på måloppnåelse. Sikre koordinering av planer med foretaksgruppens planer, tilpasset helseforetakets rammebetingelser. Videreutvikle helseforetakets innkjøpssystem slik at behovet for kjøp av varer og tjenester i størst mulig grad kan dekkes. Stille strengere krav til bruk av helseforetakets innkjøpssystem, og sterkere oppfølging av brukernes lojalitet når det gjelder bruk av innkjøpssystemet. Økt fokus på avtaledekning og sammensetning av avtaleporteføljen i forhold til behov. Sikre samlet forvaltning av porteføljen. Iverksette tiltak for økt fokus på den enkelte leders internkontrollansvar, og sikre oppfølging innenfor området hos den enkelte budsjettansvarlige. I tillegg forutsettes det at konkrete funn fra testingen som vedrører brudd på anskaffelsesregelverket rettes opp i den grad det er mulig i ettertid. Handlingsplanen som er utarbeidet sammenfaller med tilsvarende punkter i handlingsplan basert på Strategi innkjøp og logistikk fra Helse Sør-Øst (jfr. foretaksmøteprotokoll). Oslo universitetssykehus HF Revisjon av forskning med fokus på internkontroll Revisjonen ble gjennomført ved Rikshospitalet før sammenslåing til Oslo universitetssykehus HF. Revisjonen hadde fokus på å se etter om det var etablert tilfredsstillende internkontroll i prosjektgjennomføring og finansiering av forskningsprosjekter. Behandlingen av revisjonsrapport oversendt 29. mai 2009, ble utsatt av styret ved Oslo universitetssykehus HF på grunn av den pågående omstillingsprosessen. Konsernrevisjonen planlegger dialog med ny ledelse i Oslo universitetssykehus HF før saken sendes opp til helseforetakets styre slik at innholdet i denne rapporten og rapporter fra tidligere revisjoner innenfor forskning både på Ullevål og Aker kan ses i sammenheng med det omstillingsarbeidet som pågår. Anbefalingene i revisjonsrapporten er rettet mot å utbedre og utvikle rolle- og ansvarsforståelsen for alle deltakere i forskningsprosjektene, samt forbedre kommunikasjonen om kvalitetssystemet innenfor forskning og de krav til etterlevelse som gjelder for alle deltakerne i et forskningsprosjekt uavhengig av ansettelsesforhold. Forskningsstøtteavdelingen anbefales å gjøre sine tjenester og kvalitetssystemet bedre kjent for forskerne i samarbeid med prosjektlederne. For nåværende organisering og i forbindelse med den forestående samordningen anbefales økt fokus på å sikre at kompetanse og ressurser gjennomgående i prosjektets levetid samsvarer med behovene. Tilsvarende vil tiltak for å harmonisere overordnet forskningsstrategi for Rikshospitalet 2008-2012 i forhold til den regionale strategien være vesentlig, slik at denne har tilsvarende fokus på risiko. Dette vil også være gjeldende for samordningsprosessen. Gjennomgående gjelder også utvikling av risikostyring som verktøy for å oppnå bedre målfokus. Når det gjelder tiltak for å gjennomføre forskningsprosjektene på en hensiktsmessig måte, er IKT -verktøy og støtte veldig sentralt. Vi anbefaler at det vurderes om dagens løsninger for oppbevaring av data og sikkerhetsløsninger (tilgang, back-up m.m.) er hensiktsmessige og bidrar til gode arbeidsprosesser i forskningsprosjektene. For samordnet forskningsvirksomhet i det nye helseforetaket er det viktig å fortsette videreutvikling av prosjekt/økonomistøtte verktøy som er påbegynt ved Rikshospitalet. Dette vil bidra til forbedring av oppfølging av forskningsprosjektets utvikling samt økonomien knyttet til det. I tillegg vil denne type verktøy være ressursbesparende i forhold til andre oversikter som i dag utarbeides ved siden av ordinære regnskap. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 12 av 34

I tillegg anbefaler vi at det utvikles hensiktsmessig avvikssystem for forskningen som kan bli et bidrag i forbedringsarbeidet. Det bør vurderes om avvik i forhold til milepæl når det gjelder fremdrift er den type avvik det er hensiktsmessig å få inn i denne form for systematisk rapportering. I dialogen med Rikshospitalet knyttet til testing av utvalgte publikasjoner ble spørsmålet om sporbarhet i forhold til hvilket forskningsprosjekt publikasjonen var relatert til, tatt opp. Med dette mener konsernrevisjonen å etterspørre hvilket behov det er for Revisjonen har også omfattet finansiering av forskningsprosjektene, og rapporten gir en beskrivelse av de ulike finansieringskildene. Det er, slik konsernrevisjonen vurderer det, liten tvil om at finansiering av forskningsprosjektene er sammensatt og komplisert. Dette skyldes i hovedsak mangel på forutsigbarhet både i forhold til det enkelte prosjekt (tid, ressurser, fremdrift osv) samt selve finansieringen. Revisjoner gjennomført som ledd i omstillingsarbeidet ved Oslo universitetssykehus HF Det er fremlagt 3 revisjonsrapporter som er gjennomført i perioden februar 2009 august 2009 relatert til integrasjonsprogrammet i Oslo universitetssykehus HF, herunder IKT- området. Gjennomgang av integrasjonsprogrammet i OUS for 1. halvår 2009 Gjennomgang av roller og ansvar i prosjektene for Samordning av IKT i Oslo universitetssykehus (SIO) og Etablering av felles klinisk informasjonsgrunnlag (FKI) Gjennomgang av ansvar og oppgaver for de avgivende prosjekter i Aker, Ullevål og Rikshospitalet for etablering av Felles tjenesteleverandør (FTL) i Helse Sør-Øst Den ene revisjonen knyttet til IKT-området er en av flere revisjoner som er gjennomført hos de helseforetakene som har hatt prosjekter for å avgi IKT-drift som ledd i arbeidet med etablering av ny felles tjenesteleverandør som del av Sykehuspartner.Her er det også foretatt revisjon av mottaksprosjektet i Sykehuspartner og hovedprosjektet i Helse Sør-Øst RHF.. Den andre IKT-revisjonsrapporten er knyttet til rolle, ansvar og oppgaver hos partene i to prosjekter som har sentral betydning for integrasjonsarbeidet i Oslo universitetssykehus HF. Denne typen revisjoner er proaktive og rettet mot prosjekter hvor den metodiske tilnærmingen er noe annerledes enn i tradisjonelle revisjoner som er mer retroaktive. I de proaktive revisjonene får reviderte enheter tilbakemeldinger underveis i revisjonene og iverksetter korrigerende tiltak umiddelbart. Disse revisjonene legges i ettertid frem som en utkvittering på utført arbeid og hva som er kommunisert i perioden samt hvilke læringspunkter det har gitt. For styret i Helse Sør-Øst RHF betyr dette at konsernrevisjonen kun kan bekrefte på prosjektgjennomføringen og ikke om hvorvidt resultatet av prosjektene bidrar til måloppnåelse. Dette fordi denne delen av arbeidet i integrasjonsprogrammet og endringen innenfor IKT kun har som formål å etablere et beslutningsgrunnlag for selve omstillingen. Det er først nå, i ny fase med administrerende direktør på plass, det er mulig å se etter om internkontrollen blir tilfredsstillende etablert og gjennomføres på en slik måte at mål oppnås og styrevedtak oppfylles gjennom operasjonaliseringen av vedtak som gjøres. I tillegg er det gjennomført proaktive revisjoner i forhold til Sykehuspartner og felles tjenesteleverandør, og avgivende helseforetak med en proaktiv rapportering inn til helseforetakene. Revisjon av prosjektet for Sykehuspartner som felles tjenesteleverandør (FTL) for IKT-området i Helse Sør-Øst, herunder avgivende prosjekter i: o Akershus universitetssykehus HF Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 13 av 34

o Oslo universitetssykehus HF (tre stk. Rikshospitalet, Ullevål og Aker) o Vestre Viken HF (Sykehuset Asker og Bærum) o Sykehuset Innlandet HF o Sykehuset Østfold HF o Sunnaas sykehus HF Det enkelte helseforetak og Sykehuspartner som ble underlagt revisjon har behandlet resultatet av revisjonene fortløpende for å sikre at forbedringsarbeidet ble gjennomført parallelt med revisjonen. Helseforetak og sykehus Revisjon TNF-hemmere oppsummering Revisjonen er gjennomført ved 18 helseforetak og sykehus. Oppsummeringsrapporten gir et sammendrag av funn og anbefalinger gitt de reviderte enheter, men sammenfatter også de regionale utfordringene. Utfordringene er knyttet til at dette er en særfinansiering innenfor et komplekst system hvor det er krevende å fremskaffe tilstrekkelig styringsinformasjon. Helseforetakene følger opp sine egne tilbakemeldinger fra konsernrevisjonen. Revisjonsrapportene med handlingsplaner behandles i det enkelte helseforetakets styre og status fremkommer i pkt. 5.2 og vedlegg 1. I oppsummeringsrapporten som er behandlet av styret i Helse Sør-Øst RHF 29.oktober 2009 sak 083-2009 fremgår resultatet av alle revisjonene og handlingsplanene for disse, samt anbefalinger i forhold til de regionale utfordringene innenfor området. Utdrag av sammendraget i rapporten; Etter oppstart av revisjonen foretok Helse- og omsorgsdepartementet i statsbudsjettet for 2009, en endring i finansieringsordningen for den pasientadministrerte behandlingen med disse legemidlene ved å legge om fra finansiering gjennom basisbevilgning til ISF-finansiering. Forutsetningen for denne ordningen var innføring av DRG-koding ved reseptutskrivning (i helseforetak, sykehus og hos avtalespesialistene). Siden denne endringen har vært i en implementeringsfase har revisjonen ikke inkludert testing av ny DRG-registrering. Det vi imidlertid ble kjent med var at det hersker stor usikkerhet i helseforetakene og sykehusene til hvordan denne registreringen påvirker inntektene. Konsernrevisjonen ser også at det er en stor utfordring å kombinere gjeldende prinsipper om fritt sykehusvalg, fritt apotekvalg, fakturering i forhold til bosted, sykehus uten opptaksområde, avtalespesialister og endring i finansieringsordning når reseptutskrivningen for en stor del foretas av en annen part enn den som skal betale regningen. De regionale helseforetakene vedtok dessuten i 2007 prinsippet om viderefakturering av kostnader knyttet til TNF-hemmere (Remicade) gitt på sykehus med basis i en vurdering av at den etablerte DRG-satsen for denne behandlingen ikke fullt ut dekket kostnaden til legemidler. Dette prinsippet har delvis blitt fulgt innenfor Helse Sør-Øst, men ikke av alle de tre andre regionene. Det er heller ikke alle i Helse Sør-Øst som har vært kjent med at denne beslutningen var tatt. Resultatet av revisjonen viser at oppnåelse av Helse- og omsorgsdepartementets målsettinger for endring av finansieringsordningen i 2006 forutsetter: Oppdatering av retningslinjene basert på kunnskap om behandlingsresultat slik at det blir et levende dokument som kan gi støtte til hvordan pasientbehandlingen best kan gjennomføres ved forskrivning, oppfølging og seponering. I den sammenhengen gir konsernrevisjonen anbefalinger i forhold til å vurdere hvordan det regionale helseforetaket kan bidra inn i dette arbeidet, herunder også de innspill vi har mottatt i løpet av revisjonen når det gjelder forståelse av praktiseringen av de nasjonale retningslinjene som kan fremmes for å skape enhetlig praksis. Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 14 av 34

Styringsdata i forhold til å kunne se utvikling innen og mellom enheter. Konsernrevisjonens anbefaling er at det regionale helseforetaket vurderer eget behov for styringsdata og ser på hvilke muligheter som nå finnes i eksisterende registre eller registre under etablering, herunder Reseptregisteret, NPR og kvalitetsregistre. Økt fokus på lojalitet til innkjøpsavtaler og forskrivning av anbefalte legemidler. I denne sammenhengen gir konsernrevisjonen anbefalinger i forhold til tydeliggjøring av rolle, ansvar og myndighet samt kommunikasjon mellom de ulike aktørene LIS, spesialistgruppen og det regionale helseforetaket. Forutsigbar og enhetlig oppgjørsordning mellom de ulike aktørene dreier seg om å forene motstridende prinsipper i en oppgjørsordning som er mindre ressurskrevende og uoversiktlig enn i dag. Konsernrevisjonens anbefalinger retter seg mot to hovedproblemsstillinger. Det første er å avklare uklarheter i forhold til Budsjettskriv 2009 og sikre at ikke feilaktig inntektsføring foretas i det enkelte helseforetak og sykehus og kommunisere dette. Det andre er anbefalinger i forhold til å finne en enkel, mindre ressurskrevende og oversiktlig oppgjørsordning som bidrar til å sikre styring og kontroll på området. Oppfølging Administrerende direktør har etablert en intern arbeidsgruppe for å forbedre rutinene i arbeidet med alle helseforetaksfinansierte biologiske legemidler, med utgangspunkt i de problemstillingene som kom frem under revisjonen. Det er utarbeidet en egen oppfølgingsplan for forbedringer på konsernrevisjonens fremlagte observasjoner av regional karakter. Oppfølgingsplanen er lagt frem for direktørmøtet i Helse Sør-Øst, og fikk tilslutning der. Arbeidet vil ha relevans og betydning også for eventuelle nye grupper legemidler som overføres til helseforetaksfinansiering. Revisjonen har stor betydning i relasjon til at den har bidratt til fokus på forskrivningen og etterlevelsen av de nasjonale forskriftene som stiller klare krav til dokumentasjon av kvalitetssikring, lojalitet til regionale innkjøpsavtaler for legemidlene og kartlegging av de ulike oppgjørsmodellene som eksisterer i dag i regionen. Helse Sør-Øst RHF Revisjon av internkontroll i Helse Sør-Øst RHF med særlig fokus på risikostyring Revisjonen er gjennomført i perioden frem til 30. mars 2009. Revisjonsrapport med beskrivelse av funn fra gjennomgangen og tiltak per 30. mars 2009, er fremlagt for styret 28. mai 2009, sak 034-2009. I revisjonen er styrings- og kontrollmiljø i det regionale helseforetaket gjennomgått, samt systemene for intern planlegging, gjennomføring, oppfølging og rapportering. Disse er vurdert opp mot kriterier for god intern kontroll med basis i rammeverk for internkontroll og helhetlig risikostyring. Det er gjort vurderinger av om systemene er hensiktsmessig lagt opp og om de fungerer på en effektiv måte for å oppfylle det regionale helseforetakets oppgaver med å sikre ivaretakelse av sørge-for -ansvar og eieransvar for de 14 helseforetakene (før omstilling). Hovedkonklusjonen ble at det regionale helseforetakets internkontroll var vel etablert i forhold til de oppgavene det har ansvaret for. Det ble ikke funnet alvorlige feil eller svakheter i intern styring og kontroll. Kun ett område ble definert som rødt og ble knyttet til prosessbeskrivelser for kjerne- og støtteområdene ikke var på plass. De forbedringsområdene som er identifisert er fortløpende korrigert av administrerende direktør. Resultatet av revisjonen og iverksatte tiltak følges opp i dialog med Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 15 av 34

administrerende direktør, herunder spesielt prosjektet for helhetlig virksomhetsstyring og oppfølging i Helse Sør-Øst RHF. Evaluering av rutiner og systemer for rapportering og oppfølging i foretaksgruppen Styret fattet i sak 126/2008 vedtak om at rutiner og systemer for rapportering og oppfølging i foretaksgruppen skulle evalueres. Bakgrunnen for vedtaket var bl.a. at den økonomiske rapporteringen i november 2008 viste betydelige avvik i forhold til budsjett, samtidig som det var klart at flere av helseforetakene ikke ville oppnå målsettingen om økonomisk balanse. Administrerende direktør ba konsernrevisjonen foreta evalueringen. Konsernrevisjonen påtok seg oppdraget etter godkjenning fra revisjonskomiteen. Resultatet av evalueringen ble fremlagt for styret 28. mai 2009 sak 043-2008. Evalueringen viste at RHF ets opplegg og rutiner for rapportering var i samsvar med lovkrav, instrukser og gjeldende rapporteringsrutiner. Når det gjaldt spørsmålet om rapporteringen var tilstrekkelig og hensiktsmessig for å sikre pålitelig styringsinformasjon, ga evalueringen et todelt svar. På den ene siden ble det konstatert at de økonomiske dataene historisk sett var korrekte, men på den andre siden hadde helseforetaksgruppen et potensial når det gjaldt prognostisering og periodisering av økonomiske data. For personaldata og helsefaglige data kunne datafangst utvikles og kvalitetssikres bedre. Gjennomgående risikovurderinger og fokus på korrektive tiltak innen alle målområder ville bli fokuset i det videre arbeid. Målet for oppfølgingsmøtene som det regionale helseforetaket har med helseforetakene er å følge opp avvik, tilrettelegge for stabsdialog og være en arena for erfaringsutveksling. Evalueringen viser at oppfølgingsmøtene er i samsvar med lovkrav, instrukser og interne rutiner, og gjennomføres innenfor de grenser som følger av helseforetaksloven. Møtene vurderes som et nødvendig tiltak for å kunne følge opp måloppnåelsen i foretaksgruppen. I det videre arbeid med tiltak for utvikling av rapporteringen og oppfølgingsmøter vil det bli tatt utgangspunkt i de anbefalinger som er gitt i rapporten. 5.2 Resultatet av revisjoner gjennomført i helseforetakene i perioden 2006-2009 Konsernrevisjonen har benyttet fargekoder for å illustrere vurderingen som er foretatt som ledd i oppfølgingen av revisjonene som er gjennomført i tidligere planperioder. Det er utsendt oversikter pr. revisjon pr. helseforetak hvor helseforetaket er bedt om å gi status på gjennomføring av tiltak og effekten av disse. For revisjonene fra 2006 og 2007 var dette 2. gangs oppfølging av tiltak som ikke var ferdigstilt ved forrige oppfølging. Konsernrevisjonens risikovurdering bygger på statusrapportering av tiltak som er besluttet satt i verk på de reviderte områdene. Områdene vil bli vurdert i konsernrevisjonens planprosess, men risikovurderingen er ikke avgjørende for om nye revisjoner iverksettes. Vurderinger av dette vil bli gjort på basis av oppdatering av et helhetlig risikobilde og nye tiltak som er iverksatt uavhengig av revisjonene, eventuelt også av hendelser som har svekket internkontrollen. Følgende gradering er benyttet: Lav risiko konsernrevisjonen anser ikke behov for ytterligere oppfølging i 2010 Moderat risiko konsernrevisjonen vil i dialog med HFet vurdere om det bør gjennomføres en oppfølgingsrevisjon i 2010-2011 Høy risiko konsernrevisjonen vurderer det nødvendig å foreta en oppfølgingsrevisjon i 2010-2011 Oppsummering av revisjoner gjennomført i perioden 2007-2009 Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 16 av 34

Helseforetak Revisjon av TNF-hemmere 2008-9 Revisjon av BUP/pasientforløp 2008-9 Revisjon av tiltak for å oppnå eiers krav til økonomisk balanse 2007-8 Revisjon av dokumentflyt i pasientarbeidet/ henvisningsrutiner 2007-8 Akershus universitetssykehus HF Lav risiko i/a i/a i/a Oslo universitetssykehus HF Lav risiko i/a i/a Moderat risiko Psykiatrien i Vestfold HF Sunnaas sykehus HF Sykehuset i Vestfold HF i/a Lav risiko i/a i/a i/a i/a i/a i/a Lav risiko i/a Moderat risiko Lav risiko Sykehuset Innlandet HF Lav risiko i/a i/a Moderat risiko Sykehuset Telemark HF Lav risiko i/a i/a Moderat risiko Sykehuset Østfold HF Lav risiko i/a i/a Moderat risiko Sørlandet sykehus HF Lav risiko i/a Høy risiko Lav risiko Vestre Viken HF Lav risiko i/a Moderat risiko Lav risiko Tabell Oversikt vurdering revisjoner ved helseforetakene i perioden 2007-2009 Oppfølging av revisjoner gjennomført i perioden 2006-2007 Helseforetak Revisjon av innkjøpsområdet 2006-7 Revisjon av ledelsens gjennomgåelse risikovurdering 2006-7 Revisjon av forskning 2006-7 Revisjon av Ventetid/BUP 2006 Akershus universitetssykehus HF Høy risiko Lav risiko Lav risiko Lav risiko Oslo universitetssykehus HF Høy risiko Lav risiko Lav risiko Lav risiko Psykiatrien i Vestfold HF i/a i/a i/a i/a Sunnaas sykehus HF Sykehuset i Vestfold HF Sykehuset Innlandet HF Sykehuset Telemark HF Moderat risiko Lav risiko Lav risiko i/a i/a i/a i/a i/a Siste revisjon er ikke gjenstand for Moderat risiko Lav risiko Lav risiko oppfølging ennå i/a i/a i/a i/a Sykehuset Østfold HF Moderat risiko Lav risiko Lav risiko Lav risiko Sørlandet sykehus HF Moderat risiko i/a i/a i/a Vestre Viken HF Moderat risiko Lav risiko Lav risiko Lav risiko Tabell Oppfølging revisjoner fra perioden 2006 2007 Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 17 av 34

5.3 Resultat av oppfølging av oppsummeringsrapporter til Helse Sør-Øst RHF for perioden 2006-2009 Det er utsendt oversikter pr. revisjon pr. helseforetak hvor helseforetaket er bedt om å gi status på gjennomføring av tiltak og effekten av disse. For revisjonene fra 2006 og 2007 er dette 2. gangs oppfølging av tiltak som ikke var ferdigstilt ved forrige oppfølging. Konsernrevisjonens risikovurdering bygger på statusrapportering av tiltak som er besluttet satt i verk på de reviderte områdene. Områdene vil bli vurdert i konsernrevisjonens planprosess, men risikovurderingen er ikke avgjørende for om nye revisjoner iverksettes. Vurderinger av dette vil bli gjort på basis av oppdatering av et helhetlig risikobilde og nye tiltak som er iverksatt uavhengig av revisjonene, eventuelt også av hendelser som har svekket internkontrollen. Følgende gradering er benyttet: Lav risiko konsernrevisjonen anser ikke behov for ytterligere oppfølging i 2010 Moderat risiko konsernrevisjonen vil i dialog med RHFet vurdere om det bør gjennomføres en oppfølgingsrevisjon i 2010-2011 Høy risiko konsernrevisjonen vurderes det nødvendig å foreta en oppfølgingsrevisjon i 2010-2011 Revisjon/ periode Revisjon av dokumentflyt i pasientarbeidet/ henvisningsrutiner Revisjon av innkjøpsområdet Revisjon av ledelsens gjennomgåelse risikovurdering Revisjon av forskning Revisjon av Ventetid/BUP 2007-8 2006-7 2006-7 2006-7 2006 Moderat risiko Høy risiko Lav risiko Lav risiko Lav risiko 6. Andre oppgaver Konsernrevisjonen skal etablere og være pådriver for faglige kontaktmøter hvor det legges til rette for læring, erfaringsutveksling og gjensidig informasjonsutveksling blant medarbeiderne som arbeider med internrevisjonsfaglige problemstillinger i foretaksgruppen. Konsernrevisjonen skal også delta i og være aktiv pådriver i RHF- internrevisorforumet som er etablert mellom internrevisjonene i de regionale helseforetakene. Konsernrevisjonen har også innledet et faglig samarbeid med internrevisjonen ved Universitetet i Oslo. Konsernrevisjonen har i samsvar med instruks deltatt aktivt i faglige fora organisert under Norges Interne Revisorers Forening (NIRF) Trykte vedlegg Oppsummering oppfølging revisjoner pr helseforetak Oppsummering oppfølging revisjoner RHF Utrykte vedlegg Oppfølgingsskjemaer fra HF ene Oppfølgingsskjemaer fra RHF et Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 18 av 34

Vedlegg 1 Sammendrag - oppfølgingsoversikt pr helseforetak - revisjoner 2006-2009 1. Akershus universitetssykehus HF (Ahus) Følgende revisjoner er gjennomført i perioden: Revisjon TNF-hemmere Revisjon av innkjøpsområdet Revisjon Ventetid BUP Revisjon forskning Revisjon av ledelsens gjennomgåelse - risikovurdering Alle revisjonene er fulgt opp. Revisjon TNF-hemmere Alle tiltak vedtatt i handlingsplanen er bekreftet gjennomført. Vi noterer det som positivt at den etablerte prosedyren for operasjonalisering av de nasjonale retningslinjene også har inkludert barneleger som forutsettes å bruke samme prosedyre og også konsultere spesialist. Praktisk godt tiltak er strukturering av journalnotatene og bruk av overskrifter; Oppstart biologisk behandling og Kontroll biologisk behandling. Området vurderes å ha Lav risiko, og det vurderes ikke å være behov for ytterligere oppfølging fra Revisjon av innkjøpsområdet Det ble gitt ni anbefalinger. Det gjenstår i følge Ahus å sette i verk tiltak for fem av disse. Det er risiko for gjenoppståtte svakheter i forhold til ekstern forsyningsløsning. Ahus viser til at det er for høyt omfang av mangelfulle leveranser fra Forsyningssenteret (ligger ca. 6-16 % høyere enn måltall), og at dette har konsekvenser både for drift av sykehuset og styring og oppfølging av innkjøpsområdet. Det vurderes å være Høy risiko både i forhold til effektiv varelogistikk, betryggende fakturabehandling og kostnadsoppfølging. Konsekvensene av dette ble drøftet i konsernrevisjonens rapport fra gjennomgangen av innkjøpsområdet i 2007. Sett i lys av Ahus integrerte systemløsninger og avhengighet til Forsyningssenteret, vurderes det nødvendig å foreta en oppfølgingsrevisjon i 2010. Revisjon forskning Alle tiltak vedtatt i handlingsplan er bekreftet i forbindelse med denne 2. gangsoppfølgingen. Helseforetakets vurdering av om tiltakene som ble vedtatt iverksatt har hatt effekt, er at etter at prosedyren ansvars- og oppgavefordeling ble etablert, har det blitt tydeligere hvem som har ansvaret vedrørende organisering, ansvar og myndighet i de ulike forskningsprosjektene. Området vurderes å ha Lav risiko, og det vurderes ikke å være behov for ytterligere oppfølging fra Revisjon Ventetid BUP Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 19 av 34

Alle tiltak i vedtatt handlingsplan er bekreftet gjennomført. Helseforetaket melder at de iverksatte tiltak har gitt forbedring. Mål for ventetid er innfridd og er nå under 60 dager. Området vurderes å ha Lav risiko, og det vurderes ikke å være behov for ytterligere oppfølging fra Revisjon ledelsens gjennomgåelse risikovurdering Alle tiltak i vedtatt handlingsplan er bekreftet gjennomført. Ledelsens referat fra LGG som er fremlagt i styret (sak-85-2009) viser at foretaket har utviklet både systematikk og bruk av dette ledelsesverktøyet på en god måte, og saken viser historikk i forhold til tiltakene og vurderinger av hva som virker og hvor nye tiltak må settes inn. Området vurderes å ha Lav risiko, og det vurderes ikke å være behov for ytterligere oppfølging fra 2. Oslo universitetssykehus HF (OUS) Følgende revisjoner er gjennomført i perioden: Revisjon TNF-hemmere (Alle) Revisjon av dokumentflyt i pasientarbeidet/henvisningsrutiner (Rikshospitalet) Revisjon av innkjøpsområdet (Aker og Ullevål) Revisjon Ventetid BUP (Aker og Ullevål) Revisjon forskning (Aker og Ullevål ny revisjon ved Rikshospitalet inngår ikke her) Revisjon av ledelsens gjennomgåelse - risikovurdering(aker og Ullevål) Alle revisjonene er fulgt opp. Revisjon TNF-hemmere Antall anbefalinger: Aker: 8 Rikshospitalet: 2 Ullevål: 7 Alle tiltak vedtatt i handlingsplanen er bekreftet gjennomført. Konsernrevisjonen har registrert at både Aker og Ullevål har iverksatt tiltak når det gjelder valg av legemiddel, for oppfølging av avvik fra 1. valg. Det er imidlertid slik at 2. valg i anbefalingene om legemiddel kan benyttes når årsak dokumenteres i journal, og er - dersom dette er riktig for pasienten ikke et tradisjonelt avvik. Området vurderes å ha Lav risiko, og det anses ikke behov for ytterligere oppfølging fra Revisjon av dokumentflyt i pasientarbeidet/henvisningsrutiner Det ble gitt elleve anbefalinger, hvorav gjenstående tiltak knyttet til tre av disse bare delvis er gjennomført. Ett av tiltakene er avhengig av at funksjonalitet for elektronisk flyt av pasientinformasjon mellom nivåer og institusjoner kommer på plass (Meldingsløftetrelatert). De to andre er: Konsernrevisjonen Helse Sør-Øst - Årsrapport 2009 side 20 av 34