Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 2

Vurdering av interne regelverk i Oslo kommune Oslo 28/02-2007

Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 2

Innhold Innhold...3 1 Sammendrag...4 2 Innledning...6 2.1 Bakgrunn...6 2.2 Byrådets ansvar for intern kontroll i Oslo kommune...6 2.3 Avgrensning...7 2.4 Begrepsbruk...7 2.4.1 Korrupsjon...7 2.4.2 Misligheter...7 2.4.3 Myndighetsmisbruk...8 2.5 Metodikk og arbeidsform...8 2.6 Videre disposisjon av rapporten...8 3 Oversikt over det interne regelverket i Oslo kommune...9 4 Vurdering av materielle sider ved regelverket...11 4.1 Nærmere om metodikk...11 4.2 Myndighetsutøvelse og saksbehandling...12 4.3 Tjenesteproduksjon...12 4.4 Personal...12 4.5 Økonomi og finans...13 4.6 Anskaffelser...13 4.7 IKT...14 4.8 Særskilt om fullmaktssystem...14 4.9 Behov for et overordnet regelverk om intern kontroll...14 4.10 Særskilt vurdering av høringsutkast til Etiske regler for ansatte i Oslo kommune...15 5 Vurdering av systemmessige sider ved regelverket...16 5.1 Nærmere om god praksis for systematisering av interne regelverk/styringsdokumenter...16 5.2 Vurdering av systematikk og struktur i dagens regelverk og forslag til forbedringer...17 5.2.1 Overordnet vurdering...17 5.2.2 Mulig modell for strukturering av interne regelverk/styringsdokumenter...17 5.2.3 Nærmere om mulige forenklingstiltak...18 5.2.4 Standardisering av innholdet i interne regelverk/styringsdokumenter...19 6 Vurdering av prosessuelle sider ved regelverket...20 6.1 Nærmere om god praksis for å sikre etterlevelse av interne regelverk/styringsdokumenter...20 6.2 Kommunikasjon Vurdering og forslag til forbedringer...20 6.3 Forståelse Vurdering og forslag til forbedringer...21 6.4 Oppfølging av etterlevelse Vurdering og forslag til forbedringer...21 6.5 Håndhevelse Vurdering og forslag til forbedringer...22 7 Anbefalinger...23 7.1 Oppsummering av forslag til forbedringstiltak...23 7.1.1 Materielle/innholdsmessige forbedringstiltak...23 7.1.2 Tiltak for å bedre struktur og systematikk i regelverket...24 7.1.3 Tiltak for å sikre bedre etterlevelse av regelverket...24 7.2 Anbefalinger vedrørende videre arbeid...25 Vedlegg 1: Detaljert oversikt over interne regelverk i Oslo kommune Vedlegg 2: Materiell vurdering av regelverk med utgangspunkt i vesentlige risikoer/uønskede hendelser Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 3

1 Sammendrag PricewaterhouseCoopers AS (PwC) har vært engasjert av Oslo kommune v/byrådsavdeling for finans og utvikling (FIU) for å vurdere det interne regelverket i Oslo kommune, særlig i lys av risikoen for korrupsjon, misligheter og myndighetsbruk. Byrådet har etter kommuneloven det overordnede ansvaret for intern kontroll i Oslo kommune. Det interne regelverket kan betraktes som et hovedvirkemiddel for byrådet i ivaretakelsen av ansvaret for intern kontroll. Det er gjort en helhetlig vurdering av regelverket med fokus på følgende forhold: Det innholdsmessige/materielle: Reduserer regelverket i tilstrekkelig grad risikoen for korrupsjon, misligheter og myndighetsmisbruk? Det systemmessige og strukturelle: Har regelverket en god struktur og systematikk som er tilgjengelig og brukervennlig? Det prosessuelle: Er det etablert en god prosess for å sikre etterlevelse av regelverket? Den materielle og innholdsmessige vurderingen er gjort på grunnlag av en systematisk gjennomgang av identifiserte iboende risikoer/uønskede hendelser og en vurdering av disse opp mot det eksisterende regelverket. Vurderingen av systemmessige og prosessuelle forhold er hovedsakelig gjort på basis av PwCs erfaring og kunnskap om god praksis i virksomheter som i størrelse og kompleksitet kan sammenlignes med Oslo kommune, samt funn som er gjort gjennom arbeidsmøter med byrådsavdelinger/underliggende virksomheter og spørreundersøkelse blant utvalgte ledere i Oslo kommune. Innholdsmessig/materiell vurdering og forslag til forbedringer Vår overordnede vurdering er at det er få vesentlige innholdsmessige/materielle svakheter i regelverket. Hovedutfordringene synes å ligge mer på det systemmessige og prosessuelle plan enn på det materielle. De konkrete forbedringsforslagene til den materielle delen av regelverket er kategorisert i tre kategorier etter prioritet: 1. Tiltak for å tydeliggjøre kravet til god intern kontroll. Det bør utvikles et overordnet regelverk for intern kontroll i Oslo kommune. Det bør nedfelles krav til hvilke risikoområder/kontrollaktiviteter som skal inngå i den interne kontrollen i alle virksomheter. Med utgangspunkt i krav i regelverket, bør den enkelte virksomhet gjennomføre en lokal, prosessbasert risikovurdering per hovedprosess med påfølgende etablering og vedlikehold av nøkkelkontroller. På følgende områder har vi identifisert at det er spesielt viktig å forsterke regelverket og etablere krav til kontrollaktiviteter: Tydeliggjøre krav til intern kontroll over kommunens mest risikoutsatte eiendeler og aktiva Utforming av standardiserte kontroller i leveranse- og kontraktsoppfølgingsfasen og med særskilte krav til kontroller knyttet til endringshåndteringsprosessen i entreprisekontrakter Innenfor IKT-området tydeliggjøre krav til arbeidsdeling og kontrollkrav i prosessen for endringshåndtering i IKT-systemer. 2. Tiltak for å utdype regelverket på vesentlige risikoområder som for eksempel saksbehandling og myndighetsutøvelse, og delegering av fullmakter. I tillegg anbefales det at det innføres krav om obligatorisk registrering av økonomiske interesser for alle ansatte med fullmakter og innføring av krav om bakgrunnsjekk/referanseinnhenting for kritiske stillinger. 3. Tiltak for å tydeliggjøre krav og forventninger i etiske gråsoner som for eksempel grensedragningen mellom akseptable gaver/legitim representasjon og utilbørlige fordeler Systematikk og struktur vurdering og forslag til forbedringer For å bedre strukturen og systematikken i regelverket og dermed sikre bedre tilgjengelighet og brukervennlighet, foreslås det at interne regelverk struktureres i en hierarkisk modell med fire nivåer og med klare dokumentdefinisjoner: Nivå 1: Verdigrunnlag og etiske regler Nivå 2: Overordnede prinsipper for ledelse, styring og kontroll i Oslo kommune Nivå 3: Styringsprinsipper innenfor områdene Myndighetsutøvelse, Personal, Økonomi og finans, Anskaffelser og IKT Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 4

Nivå 4: Handlingsregler som inneholder detaljerte krav. Det anbefales at bruken av handlingsregler begrenses. Erfaringer viser at et bedre strukturert regelverk både bidrar til forenkling, samtidig som det gjør regelverkene til et effektivt styringsverktøy gjennom blant annet å øke respekten for regelverket og sannsynligheten for etterlevelse. Prosessuelle sider vurdering og forslag til forbedringer For å sikre bedre etterlevelse av regelverket, anbefaler vi konkrete tiltak på fire områder: 1. Tiltak som sikrer at regelverket er kommunisert til målgruppen, herunder formalisering av regler som sikrer at kommunikasjon av nye regelverk/endringer i eksisterende regelverk følger en fast prosess og at det ved utviklingen av nye/endringer i eksisterende regelverk gjøres en vurdering av om særskilte kommunikasjonstiltak er nødvendig. 2. Tiltak som sikrer at regelverket er forstått av målgruppen, for eksempel etablering av en prosess som sikrer at alle ansatte signerer på at de har lest og forstått kommunens etiske regler. 3. Tiltak som sikrer at ledelsen følger opp etterlevelsen av regelverkene, eksempelvis tydeliggjøring av den enkelte leders ansvar for oppfølging av etterlevelse av interne regelverk i standard lederkontrakt og innføring av årlig egenerklæring/selv-evaluering fra virksomhetslederne på at egen virksomhet følger internt regelverk. 4. Tiltak som sikrer at ledelsen håndhever regelverkene ved å sanksjonere brudd, herunder utforming av klare krav til den enkelte leder om at brudd på interne regelverk skal rapporteres inn til kommunens sentraladministrasjon. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 5

2 Innledning 2.1 Bakgrunn PricewaterhouseCoopers AS (PwC) har vært engasjert av Oslo kommune v/byrådsavdeling for finans og utvikling (FIU) for å vurdere det interne regelverket i Oslo kommune. Mandatet for oppdraget var: 1. Å gi en oversikt over hvilke regelverk i Oslo kommune som kommer til anvendelse i forbindelse med å forebygge, avdekke og bruke sanksjoner i saker om korrupsjon, misligheter og/eller myndighetsmisbruk 2. Å foreta en helhetlig vurdering av: Om regelverkene innholdsmessig er egnet til å forebygge, forhindre og sanksjonere korrupsjon, misligheter og/eller myndighetsmisbruk Om regelverkene er godt tilgjengelige både i betydning lett å finne fram til og at teksten er formulert presist og forståelig Om det er behov for eller hensiktsmessig at regelverkene harmoniseres, samles, forenkles og/eller oppheves helt eller delvis. 3. Å foreslå tiltak til forbedringer og forenkling av regelverkene, innenfor rammen av deres formål, med utgangspunkt i at regelverkene skal: Være lett tilgjengelig innholdsmessig og formidlingsmessig Fremstå helhetlig Legge til rette for effektiv håndhevelse av regelverkene. 2.2 Byrådets ansvar for intern kontroll i Oslo kommune Den kommunale administrasjonens ansvar for intern kontroll er presisert i kommuneloven: Kommunerådet og fylkesrådet skal sørge for at administrasjonen drives i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. 1 I Oslo kommune innebærer dette at byrådet har det overordnede ansvaret for intern kontroll og for å sørge for at det føres tilsyn med kommunens underliggende virksomheter. Vi oppfatter det interne regelverket som gjelder for alle virksomheter i Oslo kommune som et vesentlig virkemiddel for byrådet i ivaretakelsen av ansvaret for intern kontroll etter kommuneloven. Oslo kommune er en stor, kompleks og fragmentert virksomhet. Dette gir noen særlige utfordringer for byrådet i utøvelsen av styring og kontroll. For å nevne noen: Den innebygde spenningen mellom den parlamentariske styringsmodellen med et byråd som har det overordnede ansvaret for ledelsen av kommunens administrasjon og desentraliseringen av ansvaret for betydelige deler av kommunens tjenesteproduksjon til 15 bydeler med egne bydelsutvalg som er folkevalgt/valgt av bystyret Et vidt spekter av virksomheter med ulike tilknytningsformer som følge av økende grad av fristilling av kommunale virksomheter, herunder etablering av kommunale foretak, aksjeselskaper og konkurranseutsetting av kommunal virksomhet Relativt hyppige endringer i organisering og ressurstilførsel til de ulike virksomhetene i kommunen som følge av demografiske endringer, endringer i statlige regelverk/organisering og politiske ønsker om omstilling. 1 20 (2) Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 6

God intern kontroll handler om etablering og etterlevelse av retningslinjer og krav på virksomhetskritiske områder som bl.a. reduserer risiko for feil, tap og misligheter. Et godt og velfungerende regime for interne regelverk/styringsdokumenter er startpunktet for god intern kontroll: Det bidrar til at ledelsen klart definerer den etiske standarden i virksomheten og aktivt påvirker de ansattes holdning til kontroll og styring gjennom å nedfelle tydelige krav og forventninger Det bidrar til å redusere risikoen for korrupsjon, misligheter og myndighetsmisbruk til et akseptabelt nivå Det bidrar til en mer effektiv virksomhet, gjennom mer effektive prosesser (spredning av god praksis gjennom intern standardisering) og mer effektiv styring (klargjøring av roller og ansvarsforhold mv.). 2.3 Avgrensning Lovgivningen gir rammer for den kommunale virksomheten. Oslo kommune har innen denne rammen gitt en rekke regelverk for at kommunen på best mulig måte skal oppnå de mål som er satt for kommunens virksomhet og oppfylle de vilkår lovgivningen stiller. Begrepet regelverk blir i denne rapporten brukt som en fellesbetegnelse for regler som er gitt i reglementer, enkeltstående instrukser som er gitt i vedtaksform og rutinebeskrivelser som er vedtatt. Begrepet regelverk er videre avgrenset til å gjelde de interne regelverkene som er gitt av bystyret, byrådet/sentraladministrasjonen i Oslo kommune, og som er sektorovergripende og gjelder for alle kommunens virksomheter. 2.4 Begrepsbruk 2.4.1 Korrupsjon Korrupsjonsbegrepet tar utgangspunkt i legaldefinisjonen av korrupsjon i strl. 276. Her sondres det mellom passiv og aktiv korrupsjon. Passiv korrupsjon innebærer å kreve (r), motta (r) eller akseptere (r) et tilbud om en utilbørlig fordel i anledning av stilling, verv eller oppdrag. Aktiv korrupsjon innebærer gi (r) eller tilby (r) noen en utilbørlig fordel i anledning av stilling, verv eller oppdrag. I Oslo kommune kan det antas at risikoen er størst for passiv korrupsjon. For at et tilfelle skal falle inn under straffebestemmelsen om korrupsjon er det et krav at fordelen må være mottatt i anledning en posisjon. Her er alle tenkelige stillingsformer, verv eller oppdragsforhold relevante. Det er også et krav om årsakssammenheng mellom fordelen og mottakers posisjon, men det kreves ikke at mottaker har begått et pliktbrudd. Fordelsbegrepet er knyttet til alt som mottakeren kan se seg tjent med eller ha nytte av. Det er ikke et krav at fordelen har økonomisk verdi. I tillegg er det verdt å merke seg at mottakeren kan være en tredjeperson, eksempelvis kan fordelen være en gave til en frivillig organisasjon. Begrepet utilbørlig fordel er en rettslig standard. Ved vurderingen av om en fordel er utilbørlig skal det legges en strengere norm til grunn i offentlig sektor enn i privat sektor. Det er også et krav at det dreier seg om et klart klanderverdig forhold. For å avgjøre om en fordel er utilbørlig må det gjøres en konkret vurdering der en rekke momenter vil ha relevans, eksempelvis verdien av fordelen, sedvane i bransjen, interne retningslinjer, ytelsens formål, mottakerens stilling og posisjon og åpenhet. 2.4.2 Misligheter Begrepet misligheter benyttes om Uredelige handlinger med sikte på å oppnå en urettmessig eller ulovlig fordel, jf. merknader til kommunerevisorforskriften. 2 Begrepet omfatter bl.a straffbare handlinger som underslag, bedrageri, utroskap og tyveri. 2 3, Vedlegg nr 2 til Rundskriv H-15/04 fra KRD. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 7

2.4.3 Myndighetsmisbruk Begrepet myndighetsmisbruk tar utgangspunkt i den såkalte myndighetsmisbrukslæren som er en etablert forvaltningsrettslig praksis som stiller noen minimumskrav til organer som utøver offentlig myndighet. Hovedprinsippene i denne læren er; Forbudet mot å ta utenforliggende hensyn Kravet om likebehandling og forbudet mot usaklig forskjellsbehandling Forbudet mot klart urimelige forvaltningsavgjørelser. 2.5 Metodikk og arbeidsform Oppdraget er gjennomført i perioden 15. desember 2006 til 28. februar 2007. Det er gjennomført en kartlegging av relevante regelverk i samråd med oppdragsgiver, med utgangspunkt i kommunens regelverksdatabase og oversikt over kommunens rundskriv. Det er gjennomført seks arbeidsmøter der alle byrådsavdelinger/sektorer og nærmere 30 virksomheter har vært representert. Hovedformålet med disse arbeidsmøtene har vært: Å identifisere risiko/uønskede hendelser som kan føre til misligheter, korrupsjon og myndighetsmisbruk, basert på deltagernes praktisk erfaring og kunnskap om egen sektor Å identifisere styrker/svakheter ved eksisterende regelverk, med særlig vekt på strukturelle og prosessuelle forhold. Det er gjennomført en spørreundersøkelse blant ca. 120 utvalgte ledere (99 har respondert), med særlig fokus på struktur og prosessuelle forhold. Det er avholdt møter med Kommuneadvokaten og Seksjon for internrevisjon (Byrådsleders Avdeling). Den materielle vurderingen av regelverket er gjort på grunnlag av en systematisk gjennomgang av identifiserte iboende risikoer/uønskede hendelser. Vurderingen av systemmessige og prosessuelle forhold er hovedsakelig gjort på basis av PwCs erfaring og kunnskap om god praksis i virksomheter som i størrelse og kompleksitet kan sammenlignes med Oslo kommune, samt funn fra arbeidsmøtene og spørreundersøkelsen. 2.6 Videre disposisjon av rapporten I kapittel 3 gis det en oversikt over de regelverkene i Oslo kommune som vurderes å ha relevans for forebygging, avdekking og sanksjonering av korrupsjon, misligheter og myndighetsmisbruk. I kapittel 4 gjennomgås hovedfunnene i den materielle vurderingen der vesentlige risikoer/uønskede hendelser som er identifisert har dannet grunnlaget for en vurdering av om eksisterende regelverk i tilstrekkelig grad reduserer risikoen for korrupsjon, misligheter og myndighetsmisbruk. På grunnlag av denne vurderingen er det anbefalt konkrete tiltak for å forbedre innholdet i regelverket slik at risikoen for korrupsjon, misligheter og myndighetsmisbruk reduseres. I kapittel 5 behandles vurderingen av systemmessige sider ved regelverket med utgangspunkt i god praksis og funn fra arbeidsmøtene og spørreundersøkelsen, og det anbefales tiltak for å bedre strukturen og konsistensen i regelverket. I kapittel 6 drøftes de prosessuelle sidene ved regelverket med utgangspunkt i god praksis og funn fra arbeidsmøtene og spørreundersøkelsen, og det anbefales tiltak for å sikre bedre etterlevelse av regelverket. Avslutningsvis i kapittel 7 gis en oppsummering av forslag til forbedringstiltak, samt anbefalinger for det videre arbeidet med å forbedre regelverket og styrke den interne kontrollen i Oslo kommune. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 8

3 Oversikt over det interne regelverket i Oslo kommune PwC har i samråd med FIU gjennomgått Oslo kommunes regelverksdatabase og oversikt over kommunens rundskriv, og vurdert hvilke regelverk som har relevans for forebygging, avdekking og sanksjonering av korrupsjon, misligheter og myndighetsmisbruk. Listen over regelverk har i arbeidsmøtene også blitt forelagt byrådsavdelingene og underliggende virksomheter for å sikre en mest mulig uttømmende oversikt. I det følgende gis det en oversikt over de regelverkene som er identifisert. Regelverkene er kategorisert etter funksjonsområder/-prosesser: Myndighetsutøvelse/saksbehandling, Tjenesteproduksjon, Personal, Økonomi og finans, Anskaffelser og IKT. Regelverk knyttet til hhv. Etikk og verdier og Ledelse, styring og kontroll er kategorisert i egne kategorier. Vi har lagt vekt på å gi en mest mulig fullstendig oversikt. Vi har derfor i oversikten i noen tilfeller også inkludert dokumenter uten formell status (ikke vedtatt av kompetent organ) og veiledende dokumenter (bør-regler). I denne rapporten gir vi en liste over de identifiserte regelverkene. I vedlegg 1 til rapporten gis det en mer detaljert oversikt over disse. Etikk og verdier: Verdigrunnlag for Oslo kommune (vedtatt: 9.12.2004) Etiske normer for folkevalgte og ansatte i Oslo kommune (vedtatt: 20.1.1993) Ledelse, styring og kontroll: Reglement for bystyret (vedtatt: 19.2.2003) Reglement for bystyrekomiteene (vedtatt: 17.12.2003) Reglement for kontrollutvalget (vedtatt: 16.2.2005) Reglement for byrådet (vedtatt: 19.2.2003) Instruks for virksomhetsledere (vedtatt: 18.9.1991) Oslo kommunes ledelsesprinsipper (vedtatt: 26.5.2005) Lederkontrakt og lederevaluering (vedtatt: 22.6.2006) Rettsinstruks for Oslo kommune (vedtatt: 24.1.2001) Myndighetsutøvelse og saksbehandling: Reglement for folkevalgtes innsynsrett (vedtatt: 5.5.2005) Reglement for fremgangsmåten ved behandling av spørsmål om inhabilitet (vedtatt: 19.2.2003) Reglement for frivillig registrering av økonomiske interesser mv. (vedtatt: 19.2.2003) Regler om offentlighet i Oslo kommune (vedtatt: 3.10.2003) Arkivinstruks (vedtatt: 22.6.1999) Regler for tilskuddsforvaltningen instruks om utforming av tilskuddsordninger i Oslo kommune (vedtatt: 18.12.2002) Reglement for Oslo kommunes klagenemnd (vedtatt: 22.9.2004) Tjenesteproduksjon: Instruks for forvaltning av økonomiske midler tilhørende beboere i institusjon og brukere av tjenester utenfor institusjon (vedtatt: 07.11.2002) Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 9

Personal: Personalreglement for Oslo kommune (vedtatt: 19.7.2001) Fellesbestemmelser, arbeidsavtale (Dok. nr. 25) Rutiner for kontroll ved ansettelser i Oslo kommune (Rundskriv 2/97) Retningslinjer for saksbehandling i saker om økonomiske uregelmessigheter og misligheter i Oslo kommune (vedtatt: 24.3.1995) Retningslinjer for oppfølging av personalreglementets 16 Annet lønnet arbeid/bierverv (vedtatt: 8.10.1990) Reglement for frivillig registrering av økonomiske interesser mv. (vedtatt: 19.2.2003) Overlappende arbeidstid innskjerping av rutiner for kontroll av lønnsgrunnlag (Rundskriv 21/1999) Reglement for reiser i utlandet for kommunens regning. (vedtatt: 19.12.2001) Kommunens regulativ for innenlandsreiser. (vedtatt: 16.3.2006) Rundskriv om tjenestereiser (Rundskriv 11/01) Personalhåndbok for Oslo kommune Økonomi og finans: Oslo kommunes økonomireglement for 2007 (vedtatt: 13.12.2006) Instruks for økonomiforvaltningen (vedtatt: 13.12.2006) Intern kontroll i økonomiforvaltningen i Oslo kommune (vedtatt: 10.9.2002) Finansreglement (vedtatt: 18.12.2002) Erklæring om Oslo kommunes regnskap (Rundskriv 30/2006) Fakturering og oppfølging av kommunens krav (Rundskriv 8/92) Postering og avstemming av lønn og feriepenger (vedtatt: 15.1.1999) Instruks for etablering og bruk av kontantkasser (vedtatt: 9.9.1997) Retningslinjer for bruk av taxicard (Rundskriv 11/06) Instruks for forvaltning av kunstverk i Oslo kommunes virksomheter (Rundskriv 6/05) Innføring av anleggsmodulen i Agresso for alle virksomheter (Rundskriv 29/06) Rutinehåndbok for Agresso Anskaffelser: Oslo kommunes regelverk om virksomhetens ansvar for gjennomføringen av anskaffelsesprosessen (vedtatt: 9.3.2006) Intern kontroll og identifisering av roller i anskaffelsesprosessen (vedtatt: 6.7.2006) Oslo kommunes konsernovergripende anskaffelsesstrategi (Byrådssak 1186/05) Avleggelse av sluttrapporter for bygg- og anleggsprosjekter (vedtatt: 27.7.2006) Oslo kommunes veileder i anskaffelser IKT: Instruks for informasjonssikkerhet (vedtatt: 20.6.2002) IKT-instruks for Oslo kommune (Rundskriv 12/2005) Tilgangskontroller i Agresso ABW (Rundskriv 12/2004) Instruks for bruk av datautstyr i Oslo kommune (Rundskriv 10/2004) Revidert strategi for informasjons- og kommunikasjonsteknologi (IKT-Strategi) for Oslo kommune i perioden 2002-2006 (Rundskriv 13/2005) Veileder til instruks for informasjonssikkerhet (vedtatt: 20.6.2002) Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 10

4 Vurdering av materielle sider ved regelverket 4.1 Nærmere om metodikk Et vesentlig forhold i den helhetlige vurderingen av regelverket er om regelverkene innholdsmessig er egnet til å forebygge, forhindre og sanksjonere korrupsjon, misligheter og/eller myndighetsmisbruk. Som et utgangspunkt for denne vurderingen er det først foretatt en overordnet identifikasjon av risiko for korrupsjon, misligheter og/eller myndighetsmisbruk, på basis av innspill fra arbeidsmøtene med byrådsavdelinger og underliggende virksomheter og på basis av PwCs brede erfaring fra andre virksomheter. På bakgrunn av prosjektets tidsbegrensede karakter er det viktig å presisere at denne risikovurderingen har en overordnet karakter, og at vi utelukkende har inkludert de risikoer som oppfattes som vesentlige for Oslo kommune på aggregert nivå. Videre er det foretatt en vurdering av fullstendigheten i regelverket med utgangspunkt i identifiserte iboende risiko. Fullstendighetsvurderingen er gjort gjennom en systematisk gjennomgang av de konkrete risikoer/uønskede hendelser (jf. vedlegg 2) der vurderingstemaet har vært: Bidrar regelverket i tilstrekkelig grad til å redusere de identifiserte risikoene? Inneholder regelverket tilstrekkelig tydelige handlingsregler, herunder krav til prosesser, aktiviteter og/eller kontroller? Vi har systematisert funnene fra denne gjennomgangen og da med hovedvekt på identifiserte svakheter/mangler i regelverket i forhold til seks hovedprosesser i Oslo kommune: Myndighetsutøvelse og saksbehandling Tjenesteproduksjon Personal Økonomi og finans Anskaffelser IKT. Myndighetsutøvelse og saksbehandling og Tjenesteproduksjon oppfatter vi på overordnet nivå som kjerneprosessene i Oslo kommune. Kommunen utøver offentlig myndighet i klassisk forstand ved å treffe vedtak som er bestemmende for private rettssubjekters og innbyggernes rettigheter og plikter. Eksempler er myndighet til å nedlegge forbud eller å gi tillatelser. Videre utøver kommunen offentlig myndighet i en videre forstand av begrepet gjennom å fatte enkeltvedtak hjemlet i den kommunale særlovgivningen. Eksempler er tildeling av goder/tjenester som økonomisk bistand eller sykehjemsplass. Kommunens myndighetsutøvelse og saksbehandling skjer innenfor de rammer som er gitt av kommuneloven og av den kommunale særlovgivningen, forvaltningsloven, offentlighetsloven mv. En betydelig andel av kommunens virksomhet er knyttet til produksjon av tjenester og servicetilbud til innbyggerne. Denne hovedprosessen inkluderer både såkalte lovpålagte oppgaver og frivillige oppgaver. De lovpålagte oppgavene er regulert i den kommunale særlovgivningen. Dette er lover som gir kommunen ansvar og myndighet på en rekke sektorer. Vi vil i det følgende behandle kommunens myndighetsutøvelse iht. særlovgivningen som en del av hovedprosessen Myndighetsutøvelse og saksbehandling. Personal, Økonomi og finans, Anskaffelser og IKT oppfatter vi som de mest sentrale støtteprosessene i kommunen. Med det menes aktiviteter/prosesser knyttet til kommunens administrative støttetjenester til egen virksomhet. Dette er områder som er sektorovergripende og som også virker på tvers av kommunens kjerneprosesser og av kommunens virksomheter. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 11

4.2 Myndighetsutøvelse og saksbehandling Et hovedfunn i gjennomgangen av regelverket innenfor dette området er at det ikke eksisterer et overordnet regelverk for saksbehandling i Oslo kommune. Krav til saksbehandlingsprosessen følger i stor grad av forvaltningsloven og av ulovfestede forvaltningsrettslige prinsipper. Det vil likevel etter vår oppfatning kunne bidra til å heve kunnskapen og bevisstheten om hva som er god saksbehandlingspraksis og god forvaltningsskikk blant alle ansatte generelt og blant ansatte som har myndighet til å fatte vedtak spesielt, dersom det utarbeides et overordnet internt regelverk for dette området. I tillegg kan det være nødvendig at Oslo kommune gir utfyllende interne regler for å sikre en ensartet praksis innenfor områder som ikke er regulert i detalj gjennom lover og forskrifter, men som eksempelvis omfattes av mer alminnelige forvaltningsrettslige prinsipper. En annen grunn til å utarbeide et slikt regelverk er at det kan bidra til å klargjøre roller og ansvar for oppfølging og kontroll med at saksbehandlingen i Oslo kommune holder seg innenfor de rettslige rammene som er satt for utøvelse av offentlig myndighet. Vi mener videre at et regelverk for god saksbehandling bør nedfelle et generelt krav om arbeidsdeling i saksbehandlingsprosessen. Prinsippet om arbeidsdeling vil vanligvis være ivaretatt gjennom intern organisering av virksomheten og saksbehandlingsprosessen (hierarkisk linjeorganisering). Vi er likevel av den oppfatning at dette prinsippet er så sentralt for å sikre kontroll, kvalitet og rettssikkerhet i kommunens myndighetsutøvelse og saksbehandlingsprosess, at det må tydelig uttrykkes i det interne regelverket at ansvarlig leder gjennom organiseringen av arbeidet må sikre at prinsippet om arbeidsdeling er ivaretatt på de viktigste og mest risikofylte punktene i saksbehandlingsprosessen. Et område der vi har identifisert en konkret svakhet i dagens regelverk, er at det mangler tydelige regler for hva som er tillatt og hva som ikke er tillatt atferd for saksbehandlere/ansatte som utøver offentlig myndighet. Dette gjelder eksempelvis aktiviteter utenom arbeidstid som er nært knyttet opp til eget myndighetsområde. Vi vil anbefale at grensene for akseptabel atferd for saksbehandlere/ansatte som utøver offentlig myndighet tydeliggjøres i regelverket. For å redusere risikoen for at saksbehandlere unnlater å informere om sin egen inhabilitet (grunnet egne økonomiske interesser), vil vi anbefale at Oslo kommune innfører et krav om obligatorisk registrering av økonomiske interesser for alle ansatte med fullmakter/myndighet til å fatte vedtak (det samme kravet bør også gjelde for ansatte som er sentrale i en anskaffelsesprosess for å unngå valg av leverandørselskaper der de selv har økonomiske interesser). Dette vil være et sterkt preventivt tiltak, og vil etter vår oppfatning være viktig for å øke tilliten til kommunens myndighetsutøvelse i befolkningen. 4.3 Tjenesteproduksjon Dette området er preget av at det i liten grad finnes sektorovergripende regelverk, og at de fleste regelverkene som er gitt av byrådet gjelder for en eller flere spesifikke sektorer. Vi har heller ikke identifisert særegne sektorovergripende risikoer som ikke i tilstrekkelig grad er dekket av regelverk innenfor støtteprosessene personal, økonomi, anskaffelser eller IKT. 4.4 Personal Innenfor personalområdet eksisterer det et overordnet Personalreglement for Oslo kommune (vedtatt: 19.7.2001), i tillegg til mer spesifikke regelverk, som i stor grad reduserer den iboende risikoen for korrupsjon, misligheter og myndighetsmisbruk innenfor dette området. I gjennomgangen har vi imidlertid identifisert flere risikoer/uønskede hendelser som ikke i seg selv kan kategoriseres som korrupsjon, misligheter eller myndighetsmisbruk, men som ligger i en etisk gråsone og som i dag ikke fanges opp av konkrete regler. For følgende forhold vil vi derfor anbefale å formalisere og konkretisere regelverket: Kommunens gjeldende etiske normer gir i liten grad veiledning i grensedragning mellom akseptable gaver/legitim representasjon og utilbørlig fordeler. Vi vil anbefale at Oslo kommunes holdning til mottak av gaver og representasjon klargjøres i etiske normer og/eller i annet egnet regelverk. Det mangler tydelige regler for betalte faglig relaterte verv som forutsettes utført i arbeidstiden. Vi vil anbefale at krav og forventninger til ansatte klargjøres i egnet regelverk på personalområdet. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 12

Det mangler retningslinjer som regulerer adgangen til å gi familie, venner og bekjente fortrinn ved ansettelser/bruk av vikarer/midlertidige ansettelser. Vi vil anbefale at det nedfelles en aktsomhetsregel i forbindelse med ansettelse/innleie av familie, venner og bekjente i egnet regelverk på personalområdet. Det mangler konkrete interne retningslinjer som regulerer adgangen til lån/bruk av kommunens eiendeler og lokaler. Vi vil anbefale at regelverket klargjøres for å hindre uautorisert og uønsket bruk av kommunens eiendeler og lokaler. Dette tiltaket bør også sees i sammenheng med våre anbefalinger om å utarbeide spesifikke krav til intern kontroll over kommunens mest risikoutsatte eiendeler og aktiva. Det mangler tydelighet i regelverket knyttet til kommunalt ansattes adgang til å yte tilleggstjenester til kommunens brukere mot ekstra betaling. Vi vil anbefale at regelverket tydeliggjøres på dette området for å hindre en uønsket praksis. Rutiner for kontroll ved ansettelser i Oslo kommune (Rundskriv 2/97) inneholder noen krav til kontrollaktiviteter ved ansettelser. Vi vil imidlertid anbefale at det utvikles klarere krav til bakgrunnsjekk/referanseinnhenting for kritiske stillinger. 4.5 Økonomi og finans Innenfor økonomiområdet finnes det regelverk som bidrar til å redusere risikoene for uønskede hendelser knyttet til korrupsjon, misligheter og myndighetsmisbruk, men dette er et område der det etter vår vurdering er behov for svært tydelige handlingsregler. Dokumentet Instruks for økonomiforvaltningen sammen med annet regelverk på spesifikke områder som for eksempel postering og avstemming av lønn, fakturering og bruk av kontantkasser, angir enkelte kontrollaktiviteter som er sentrale for å sikre god intern kontroll. Kommunen har også utviklet dokumentet Intern kontroll i økonomiforvaltningen i Oslo kommune (Rundskriv 23/2002) som viser til det generelle kravet om god intern kontroll og i tillegg pålegger noen krav til kontroller på spesifikke områder. Vi vil likevel anbefale at regelverket knyttet til intern kontroll videreutvikles og at det etableres et tydeligere og mer konkret krav til at virksomhetene har ansvaret for å etablere god intern kontroll over viktige prosesser. God intern kontroll er å etablere robuste kontrolltiltak på de områdene hvor det er størst sannsynlighet for og/eller konsekvens av at noe kan gå galt. Slike kontroller omtales ofte som nøkkelkontroller. Hvor og hvordan kontrollene skal etableres, må baseres på en detaljert risikovurdering som jevnlig vedlikeholdes. God intern kontroll innebærer i tillegg at det er etablert mekanismer som sikrer oppfølging av etterlevelse. Ved etablering av nøkkelkontroller er det sentralt at arbeidsprosessene og kontrollene ivaretar prinsippet om arbeidsdeling. Det skal være deling av oppgaver slik at ikke en og samme person kan utføre flere handlinger og dermed bevisst eller ubevisst skjule feil. Et annet sentralt prinsipp er at kontrollene skal dokumenteres. Dette muliggjør oppfølging av etterlevelse, for eksempel gjennom stikkprøvekontroller fra internrevisjonen. Et særskilt risikoområde er knyttet til intern kontroll over kommunens eiendeler og aktiva. Dette er et område der det i dag ikke eksisterer tydelige krav i regelverket. Eksempelvis har ikke Oslo kommune pr. i dag egne interne regler som regulerer et risikoutsatt område som kassasjon og utfasing av utstyr etc. For å forebygge og forhindre misligheter som underslag og tyveri av eiendeler vil anbefale at det også på dette området utarbeides spesifikke krav til intern kontroll (og nøkkelkontroller) over kommunens mest risikoutsatte eiendeler og aktiva. Finansreglementet (vedtatt 18.12.2002) fastsetter regler for finansforvaltningen i kommunen. Vi anser at dette dokumentet i tilstrekkelig grad angir regler og krav til byrådets forvaltning av kommunens finanser. 4.6 Anskaffelser Dette området er regulert gjennom et meget omfattende regelverk gitt av statlige myndigheter (Lov om offentlige anskaffelser med tilhørende forskrifter). I Oslo kommune er det gitt et overordnet regelverk som henviser til det offentlige anskaffelsesregelverket og som tydeliggjør roller og ansvar i anskaffelsesprosessen: Oslo kommunes regelverk om virksomhetens ansvar for gjennomføringen av anskaffelsesprosessen (vedtatt: 9.3.2006). I tillegg er det gitt noen mer operative retningslinjer i et eget rundskriv: Intern kontroll og identifisering av roller i anskaffelsesprosessen (vedtatt: 6.7.2006). Et fellestrekk ved regelverkene innenfor dette området er at de ikke primært har et kontrollfokus, men mer et prosessfokus. Vår vurdering er at det også innenfor dette området bør stilles konkrete krav til at virksomhetene med utgangspunkt i en risikovurdering skal utforme prosessbaserte nøkkelkontroller (jf. pkt 4.5): Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 13

En systematisk gjennomgang av risiko for å påse at alle sentrale risikoforhold er dekket med kontroller Tydelig beskrivelse av hvor i prosessen nøkkelkontroller skal gjennomføres Systematisk og enhetlige krav til hvordan kontrollene skal dokumenteres. Dette er særlig viktig for å sikre fullstendighet i kontroller fra bestilling til utbetaling. Erfaring fra blant annet de siste års mislighetssaker i Oslo kommune, viser at risikoen for misligheter i selve leveranse- og kontraktsoppfølgingsfasen er stor. Dette er et område som i liten grad er regulert av det offentlige anskaffelsesregelverket. Særlig gjelder dette for entreprisekontrakter der vanlig praksis er at det skjer større endringer etter at kontrakt er inngått, og der standardkontrakten (NS 8405) eksempelvis legger opp til at endringshåndteringen skal gjennomføres innenfor knappe tidsfrister. Vår anbefaling er at dette området bør behandles spesielt gjennom utforming av standardiserte kontroller i leveranse- og kontraktsoppfølgingsfasen og særskilte krav til kontroller knyttet til endringshåndteringsprosessen i entreprisekontrakter. 4.7 IKT På IKT-området finnes det flere interne regelverk for Oslo kommune. Med utgangspunkt i identifiserte risikoer for korrupsjon, misligheter og myndighetsmisbruk, anser vi dokumentene Instruks for informasjonssikkerhet m/veileder (vedtatt: 20.6.2002) og IKT-instruks for Oslo kommune (Rundskriv 12/2005) som de mest sentrale. Disse dokumentene angir flere krav til kontroller på IKT-området. Aller viktigst er krav om at det skal være tilgangskontroller (brukeridentifikasjon, autentisering og autorisasjonskontroll) på alle kommunens IKT-systemer. Etter vår oppfatning er det likevel manglende tydelighet i regelverket knyttet til prinsippet for arbeidsdeling. Dette er et svært viktig punkt for å sikre kommunen mot korrupsjon, misligheter og myndighetsmisbruk. Regelverket bør gjennomgås med det mål å tydeliggjøre krav til arbeidsdeling. Vi har videre ikke identifisert regelverk eller regler for endringshåndtering i IKT-systemer. Også dette punktet er svært viktig for å sikre kommunen mot korrupsjon, misligheter og myndighetsmisbruk. Vi anbefaler derfor at kommunen etablerer regler på dette området. 4.8 Særskilt om fullmaktssystem Fullmakter i Oslo kommune er nedfelt i dokumentet Budsjettfullmakter som er en del av det årlige økonomireglementet vedtatt av bystyret. Videre er fullmakter delegert i virksomheten via enkeltvedtak, såkalte delegasjonsvedtak, som det finnes en oversikt over i Regelverksdatabasen. Det finnes ikke et dokument/kilde som viser en samlet oversikt over fullmakter eller beskriver prinsipper for delegering av fullmakter. Flere har uttrykt at kommunens fullmaktssystem oppfattes som uoversiktlig, og at denne uoversiktligheten oppfattes som en viktig risikofaktor for korrupsjon og misligheter. Et uoversiktlig fullmaktssystem innebærer en risiko for både bevisst og ubevisst overskridelse av fullmaktsgrenser. For å redusere risikoen innenfor dette området vil vi anbefale at dagens fullmaktssystem gjennomgås med henblikk på å sikre forenkling og tydelighet, herunder at den enkelte leder får tydelighet i fullmaktene han/hun innehar, og at prinsipper for delegering av fullmakter formaliseres og kommuniseres i et overordnet styringsdokument. 4.9 Behov for et overordnet regelverk om intern kontroll Gjennomgangen av de materielle sidene av regelverket viser et gjennomgående behov for å styrke kravet om intern kontroll over de hovedprosessene vi har identifisert. Vår anbefaling er at det utarbeides et felles rammeverk for gjennomføring av risikovurderinger og utforming av systemer som sikrer god intern kontroll. Statens økonomireglement og bestemmelser om økonomistyring i staten kan være et godt startpunkt for dette arbeidet. Vi tror et slikt tiltak vil være det mest effektive tiltaket for å redusere risikoen for misligheter, korrupsjon og myndighetsmisbruk. Gjennomgangen viser at regelverket i hovedsak fanger opp spesifikk risiko for misligheter, korrupsjon og myndighetsmisbruk. Vi mener at regelverket må suppleres med gode og robuste kontrollaktiviteter som sikrer etterlevelse av regelverket, og som dekker risiko i de ulike hovedprosessene i hver enkelt virksomhet. Det generelle kravet til god intern kontroll bør videre forankres på minimum nivå 2 (jf. kapittel 5) i et dokumenthierarki. Dette regelverket/styringsdokumentet bør fastsette mål, prinsipper og rammer for god intern Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 14

kontroll. Det bør også tydelig legge ansvaret for den interne kontrollen på den enkelte virksomhetsleder. Regelverket/styringsdokumentet må legge til grunn at virksomhetene skal etablere god intern kontroll over viktige prosesser, og at denne interne kontrollen må være basert på en lokal risikovurdering med påfølgende design og vedlikehold av såkalte nøkkelkontroller. Den overordnede forankringen av kravet til den interne kontrollen bør suppleres ved at utfyllende krav til intern kontroll nedfelles i regelverkene på de ulike hovedprosessene. Det må i denne sammenheng også vurderes om regelverket på særlig risikofylte områder skal fastsette krav om standardiserte kontrollhandlinger. Dette vil i så fall bety at kommunen innfører allmenne kontroller som skal være på plass i alle kommunens virksomheter. Dette vil først og fremst være aktuelt på områder der kommunen allerede har standardisert prosessen. Vi gjør oppmerksom på at det eksisterende regelverket allerede til en viss grad har krav om standardiserte kontroller. 4.10 Særskilt vurdering av høringsutkast til Etiske regler for ansatte i Oslo kommune Vi er bedt om å gjøre en særskilt vurdering av høringsutkast til nye Etiske regler for ansatte i Oslo kommune. Ved utformingen av etiske regler for en stor og sammensatt virksomhet som Oslo kommune bør det balanseres mellom to hensyn. På den ene siden bør de etiske reglene ha karakter av å være overordnede regler som skal gjelde og ha relevans for alle virksomheter og alle ansatte. Derfor er det viktig å ikke gå for langt i å regulere konkrete enkelttilfeller gjennom de etiske reglene. På den annen side er det samtidig viktig at de etiske reglene ikke blir for abstrakt og intetsigende; de bør også ha et klart meningsinnhold og fungere som regler som setter noen konkrete grenser for hva som er akseptabel atferd. På et overordnet nivå synes det som om Oslo kommune har klart å balansere mellom disse to hensynene på en god måte gjennom det utarbeidede høringsutkastet. Vi har imidlertid noen konkrete innspill som kan vurderes i den videre prosessen: Form og begrepsbruk kan fremstå som noe juridisk med tanke på at de etiske reglene skal forstås av alle medarbeidere i Oslo kommune. Et eksempel er pkt. 5, der det henvises til forvaltningslovens habilitetsregler I kapittel 4.4 har vi synliggjort enkelte forhold som ligger i en etisk gråsone, og som i dag ikke fanges opp av konkrete regler i Oslo kommune: o Når det gjelder det første forholdet at gjeldende etiske normer i liten grad gir veiledning i grensedragningen mellom akseptable gaver/legitim representasjon og utilbørlig fordeler er høringsutkastets pkt. 6 i tråd med vår anbefaling om at Oslo kommunes holdning til mottak av gaver og representasjon bør klargjøres. Ettersom det også er inkludert mer utfyllende kommentarer til hvert punkt i regelverket, vil vi foreslå at det i kommentarene i pkt. 6 vises til strl. o 276 (jf. kap. 2.4.1. ovenfor) og begrepet utilbørlig fordel. Når det gjelder de andre forholdene som tas opp i kap. 4.4. er disse på prinsippnivå i stor grad ivaretatt av høringsutkastet til etiske regler, og vår vurdering er at de konkrete forbedringsforslagene hører hjemme i mer konkrete regler på personalområdet enn i det etiske regelverket. Vi vil anbefale at pkt. 12 i høringsutkastet presiseres i tråd med vårt forslag under kap. 6.3: Det etableres en prosess som sikrer at alle ansatte signerer på at de har lest og forstått kommunens etiske regler (engangsaktivitet samt del av rutine knyttet til nye ansettelser). Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 15

5 Vurdering av systemmessige sider ved regelverket 5.1 Nærmere om god praksis for systematisering av interne regelverk/styringsdokumenter God intern kontroll handler om etablering og etterlevelse av styringsprinsipper og krav på virksomhetskritiske områder som bidrar til å reduserer risiko for feil, tap og misligheter. Første steg er å utvikle styringsprinsipper og krav og nedfelle disse i interne regelverk/styringsdokumenter. Andre steg er å strukturere regelverkene/styringsdokumentene på en måte som sikrer brukervennlighet og tilgjengelighet. Det tredje og siste steget er å etablere en prosess som sikrer at styringsdokumentene etterleves. Dette kapitlet omhandler det andre steget, strukturering av regelverkene/styringsdokumentene. God praksis på dette området er å definere tydelig hva som skal ha status som styringsdokument og samtidig definere et avgrenset antall kategorier av styringsdokumenter. Det er vanlig at de ulike kategoriene av styringsdokumenter er organisert i et hierarki, dvs. med over- og underordnede dokumenter. Et slikt dokumenthierarki kan for eksempel, som på figuren over, bestå av tre ulike nivåer av styringsdokumenter: Nivå 1: Verdigrunnlag og etiske regler Nivå 2: Prinsipper som angir rammene for regelverket Nivå 3: Prosedyrer som angir konkrete handlingsregler som skal sikre implementering av prinsippene Det gjøres oppmerksom på at denne modellen kun er ment som et generisk utgangspunkt og derfor må tilpasses konkret til den enkelte virksomhet, jf. vårt forslag i figur 2 nedenfor (kapittel 5.2.3). Hva som legges i de ulike kategoriene vil også variere fra virksomhet til virksomhet. Men fellesnevneren er at kategoriene er tydelig definert og at styringsdokumentene er systematisert i henhold til kategoriene. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 16

Erfaringer viser at denne typen organisering og systematisering gjør styringsdokumentene til et effektivt styringsverktøy ved å tydelig kommunisere krav og forventninger til virksomheten. Et bedre strukturert regelverk vil også kunne bidra til forenkling og øke respekten for og dermed sannsynligheten for etterlevelse av regelverket. 5.2 Vurdering av systematikk og struktur i dagens regelverk og forslag til forbedringer 5.2.1 Overordnet vurdering Det interne regelverket i Oslo kommune er omfangsrikt og inneholder et betydelig antall relativt detaljerte regler. Regelverket fremstår som fragmentert og underliggende dokumenter er ikke tydelig utledet av et mor-dokument. Dette er med på å utydeliggjøre selve logikken i regelverkene og bidra til å redusere tilgjengeligheten for ledere og medarbeidere. En annen utfordring er at regelverket gjennomgående mangler klare dokumentdefinisjoner. Dokumentkategoriseringen gir i liten grad informasjon om innholdet (detaljeringsnivå etc.) og begreper som brukes (Reglement, Instruks, Retningslinjer, Regler, Regelverk, Rundskriv, Veiledere) har ikke et entydig innhold. Eksempelvis er det betydelige innholdmessige ulikheter mellom Økonomireglementet som vedtas årlig og i stor grad innholder konkrete budsjettfullmakter og Reglement for byrådet som er mer overordnet selv om begge regelverkene er definert som reglementer. Et positivt trekk er at det for de fleste regelverkene fremgår klart både hvem som eier dokumentet og hvilket organ som har vedtatt dokumentet. For enkelte dokumenter er det imidlertid uklart hvilken formell status dokumentet har og om det er vedtatt av et kompetent organ. For eksempel gjelder dette for Oslo kommunes veileder i anskaffelser og flere rundskriv på personalområdet som Rutiner for kontroll ved ansettelser i Oslo kommune (2/97), Retningslinjer for oppfølging av personalreglementets 16 Annet lønnet arbeid/bierverv (55/99) og Overlappende arbeidstid innskjerping av rutiner for kontroll av lønnsgrunnlag (21/99). Spørreundersøkelsen blant utvalgte ledere underbygger at manglende struktur oppfattes som en utfordring. Respondentene er gjennomgående mindre enig i at regelverket er tydelig strukturert og organisert enn i andre spørsmål/påstander i undersøkelsen. 5.2.2 Mulig modell for strukturering av interne regelverk/styringsdokumenter Vi vil anbefale at Oslo kommune utvikler et helhetlig regime for styring og kontroll i Oslo kommune og strukturerer regelverkene i en hierarkisk modell der de ulike nivåene av interne regelverk fremgår tydelig. Videre vil vi anbefale at det utvikles klare dokumentdefinisjoner og at Oslo kommune bruker begrepet styringsdokumenter som en samlebetegnelse for det sektorovergripende regelverket gitt av byrådet (og som er vurdert i denne rapporten). Begrepet styringsdokumenter kan eksempelvis gis følgende definisjon: Med Styringsdokumenter menes dokumenter som bygger opp under Oslo kommunes verdigrunnlag og overordnede mål i form av skriftlige handlingsregler. Dokumentene uttrykker felles krav til atferd innenfor viktige hovedprosesser for alle Oslo kommunes virksomheter. Styringsdokumenter skal vedtas av byrådet eller bystyret som styringsdokumenter. Antall og omfang av styringsdokumenter skal være begrenset. Vi anbefaler at styringsdokumentene struktureres på fire nivåer. På Nivå 1 har Oslo kommune nylig vedtatt et Verdigrunnlag (som også er kommunisert ut til kommunens ansatte), mens de Etiske normene allerede er under revisjon og forventes å vedtas i en revidert versjon i løpet av kort tid. På Nivå 2 er det etter vår oppfatning behov for å utarbeide et styringsdokument som klart definerer virksomhetsomfattende Prinsipper for ledelse, styring og kontroll i Oslo kommune. Reglementer for styringsorganer som bystyret og byrådet vil, sammen med kommunens rettsinstruks, høre hjemme på dette nivået. På Nivå 3 vil vi anbefale at det utvikles Styringsprinsipper som angir hovedprinsipper og krav til hovedaktiviteter på viktige områder (hva-krav) og tydelig definere roller og ansvar (hvem-krav). Nivå 4 i dokumenthierarkiet vil bestå av mer detaljerte Handlingsregler som er gitt med hjemmel i Styringsprinsipper. Handlingsreglene har altså som formål å sikre at styringsprinsippene implementeres og etterleves. Handlingsreglene skal både angi krav til hovedaktiviteter på viktige områder (hva-krav) og krav til hvordan hovedaktiviteten(e) skal utføres (hvordan-krav). Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 17

5.2.3 Nærmere om mulige forenklingstiltak Vi har utarbeidet et konkret forslag til et dokumenthierarki for Oslo kommunes styringsdokumenter/interne regelverk, illustrert i figur 2. På Nivå 1 foreslår vi ingen strukturelle endringer. På Nivå 2 vil vi anbefale at det utarbeides et styringsdokument som klart definerer Overordnede prinsipper for ledelse, styring og kontroll i Oslo kommune. Både Oslo kommunes ledelsesprinsipper og Instruks for virksomhetsledere vil det være naturlig å innarbeide i et slikt dokument. I tillegg bør dette dokumentet angi: Overordnede prinsipper for intern kontroll i Oslo kommune (jf. kap. 4.9) Overordnede prinsipper for delegering av fullmakter (jf. kap. 4.8) Bestemmelser som regulerer prosessen for utvikling, godkjenning og vedlikehold av styringsdokumenter På Nivå 3 foreslår vi at det utarbeides Styringsprinsipper som i stor grad vil kunne baseres på en videreutvikling av allerede eksisterende regelverk i Oslo kommune. Med utgangspunkt i at Styringsprinsipper bør dekke hovedprosessene der de mest sentrale risikoene for feil og misligheter ligger, vil vi anbefale at Styringsprinsipper utarbeides på følgende områder: Myndighetsutøvelse og saksbehandling Personal (med utgangspunkt i Personalreglementet) Økonomi og finans (med utgangspunkt i Instruks for økonomiforvaltningen og Finansreglementet) Anskaffelser (med utgangspunkt i Regelverk om virksomhetens ansvar for gjennomføringen av anskaffelsesprosessen) IKT (med utgangspunkt IKT-instruks og Instruks for Informasjonssikkerhet). Generelt bør det gjøres en vurdering av de identifiserte regelverkene innenfor disse områdene (jf. oversikt i kapittel 3 og vedlegg 1), med sikte på å samle prinsipper/overordnede krav og organisatoriske bestemmelser/definering av roller og ansvar i Styringsprinsipper (nivå 3) og de mer detaljerte bestemmelsene eksempelvis hvordan konkrete kontrollaktiviteter skal utføres i Handlingsregler (nivå 4). En generell observasjon er at hva som i dag er regulert gjennom tydelige og detaljerte handlingsregler mer ser ut til å skyldes ønsket om å svare på en hendelse som allerede har inntruffet enn en vurdering av hvor risikoen for uønskede hendelser er størst. Vi vil anbefale at det gjøres en helhetlig vurdering av på hvilke områder det er mest kritisk for byrådet å nedfelle klare krav og forventninger til underliggende virksomheter gjennom detaljerte Handlingsregler. Etter vår vurdering bør bruken av detaljerte Handlingsregler i en så kompleks og sammensatt organisasjon som Oslo kommune begrenses og det bør tilstrebes å balansere byrådets behov for styring/kontroll og virksomhetenes behov for lokal frihet. For mange detaljerte regler øker også risikoen for at det oppstår såkalt smutthullsetikk i organisasjonen, der det at en konkret handling ikke omhandles i regelverket tolkes som at det derfor uten videre er en akseptabel handling. Vurdering av interne regelverk i Oslo kommune, 28. februar 2007 side 18