Helseforetakenes senter for pasientreiser ANS 1/2016 RAPPORT Oppfølging av revisjoner som ble gjennomført i 2013-14 Revisjonsrapport 1/2016 Internrevisjon Side 1 av 13
Tidsrom for revisjonen Mai-juni 2016 Virksomhet Helseforetakenes senter for pasientreiser ANS Rapportmottaker Styret v/ styreleder Kopi (endelig rapport) Administrerende direktør Rapportavsender Internrevisjonen Oppdragsgiver Styret Oppdragsleder Tove Kolbeinsen Revisjonsteam Tove Kolbeinsen Kundevarlig Tove Kolbeinsen Innholdsfortegnelse 1. Sammendrag... 3 2. Kort om området som skal revideres... 4 3. Formål, problemstillinger og metode... 5 4. Revisjonskriterier... 6 5. Vurderingskriterier... 6 6. Oppsummering av funn... 7 7. Vedlegg... 11 7.1 Informasjonsgrunnlag... 11 7.2 Gjennomførte intervjuer... 12 7.3 Saksgang... 13 Revisjonsrapport 1/2016 Internrevisjon Side 2 av 13
1. Sammendrag Hovedfunn Internrevisjonen har gjennomført en oppfølging av de revisjoner som er gjennomført i 2013/14 med det formål å vurdere tilstanden for intern styring og kontroll på de områder som det ble revidert for å bekrefte at gjennomførte tiltak virker som forutsatt. For å svare opp revisjonen er det definert følgende problemstillinger som har inngått i revisjonen: I hvilken grad har Pasientreiser ANS etablert et hensiktsmessig og effektivt system for oppfølging av interne revisjonsrapporter / anbefalinger? I hvilke grad er tiltaksplaner etter revisjonene styrebehandlet og implementert? I hvilken grad virker tiltakene som forutsatt? Hva er eventuelt årsakene til at tiltakene ikke er iverksatt/virker som forutsatt? I hvilken grad er gjenværende risiko på de tidligere reviderte områdene innenfor akseptabelt nivå? Hovedkonklusjon: Styrets vedtatte tiltak er tilfredsstillende fulgt opp. Pasientreiser ANS har etablert et hensiktsmessig system for oppfølging av interne revisjonsrapporter og systemet er en integrert del av intern styring og kontroll i Pasientreiser ANS. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Det er ikke behov for tiltak, men Internrevisjonen har gitt forslag til to forbedringsområder som Pasientreiser ANS bør vurdere. For å redusere sårbarheten i etablert system for oppfølging av tiltaksarbeid bør Pasientreiser ANS vurdere å dokumentere koordineringen /oppgavene som kvalitetsrådgiver utfører For å sikre at formålene med tiltakene oppnås bør Pasientreiser ANS vurdere å definere effektmål i tillegg til resultatmål for tiltakene og benytte tilgjengelig funksjonalitet i TQM på dette området. Revisjonsrapport 1/2016 Internrevisjon Side 3 av 13
2. Kort om området som skal revideres Beskrivelse av område/prosess som er revidert Denne revisjonen omfatter de 4 revisjonene som ble gjennomført i 2013-14: 1. 1/2013 Revisjon av tverrgående prosesser mellom helseforetak som har pasientreisekontor og Pasientreiser ANS, der Pasientreiser ANS er ansvarlige. 2. 2/2013 oppfølgingsrevisjoner gjennomført 2011/2012. 3. 1/2014 - Selskapets prosess for å bli sertifisert i henhold til ISO14001:2004. 4. 2/2014 - Revisjon av intern styring og kontroll knyttet til tilgangsstyring og test og utrulling av nye versjoner i IT systemet NISSY. Målsettinger for området/prosessen som er revider 1. Det ble utarbeidet handlingsplaner med tiltak med en fordeling av ansvarlige fordelt mellom Pasientreiser ANS, de regionale helseforetakene og helseforetak. Pasientreiser ANS fikk et koordinerings- og samordningsansvar. 2. Det ble gjennomført en oppfølging av revisjoner fra 2011/2012 og det ble beskrevet 2 gjenstående tiltak (forbedringsområder) 3. Pasientreiser ANS har under utvikling et miljøstyringssystem som skal oppfylle kravene til sertifisering i henhold til ISO 14001:2004. Innen utgangen av 2014 skal Pasientreiser ANS være sertifisert i henhold til ISO14001:2004. 4. I handlingsplanen etter revisjon av tverrgående prosesser i 2013 ble ulike aktiviteter planlagt gjennomført i 2014, herunder tiltak knyttet til tilgangsstyring i NISSY. Målsetningen for revisjonen var å undersøke om Pasientreiser ANS har gjennomført de tiltak som avtalt på en god og effektiv måte. I tillegg var en målsetning med revisjon av test og release av NISSY var å sikre at det er lagt til grunn gode prosesser som reduserer risiko for feil ved utrullering av nye versjoner. Revisjonsrapport 1/2016 Internrevisjon Side 4 av 13
Avgrensninger Hovedfokus rettes mot anbefalinger / tiltak som vurderes å ha høy vesentlighet eller som ikke er implementerte og som fremdeles er vesentlig for PASANS i forhold til endringer etter revisjonen. 3. Formål, problemstillinger og metode Formål med revisjonen Problemstillinger som skal undersøkes Metode Formålet med oppfølgingsrevisjonene er å gjennomgå og vurdere tilstanden for intern styring og kontroll på områder som ble revidert for å bekrefte at gjennomførte tiltak virker som forutsatt. I denne revisjonen inngår de revisjoner som er beskrevet i kapittel 2. Følgende hovedproblemstillinger vil bli undersøkt: I hvilken grad har PASANS etablert et hensiktsmessig og effektivt system for oppfølging av internrevisjonsrapporter/ anbefalinger? I hvilken grad er tiltaksplaner etter revisjonene styrebehandlet og implementert? I Hvilken grad virker tiltakene som forutsatt? Hva er eventuelt årsakene til at tiltak ikke er iverksatt/virker som forutsatt? I hvilken grad er gjenværende risiko på de tidligere reviderte områdene innenfor akseptabelt nivå? Planlegging av revisjonen og oppstart Innledende risikoanalyse og avgrensning Gjennomgang av dokumentasjon på gjennomføring og virkning av vedtatte tiltaksplaner, intervju i den grad dette er nødvendig Evaluere grad av gjennomføring av vedtatte tiltaksplaner Test av effektivitet av utvalgte tiltak Evaluere hensiktsmessigheten i etablert system for oppfølging av interne revisjoner Utarbeide utkast rapport og avstemme Revisjonsrapport 1/2016 Internrevisjon Side 5 av 13
4. Revisjonskriterier Revisjonskriterier Revisjonskriterier er utarbeidet med utgangspunkt i hvordan selskapets tiltaksarbeid/handlingsplan bør planlegges, gjennomføres og følges opp for å imøtekomme anbefalingene i revisjonsrapportene. De ulike kriteriene er avledet fra anerkjente rammeverk for intern styring og kontroll. Kriterier for oppfølging av interne revisjonsrapporter: Tilstrekkelige og hensiktsmessige handlingsplaner. Selskapets handlingsplaner må være dekkende ved at de sikrer at alle anbefalingene følges opp med tiltak og gjøres gjeldende for selskapet samlet sett. Roller, ansvar og frister. Roller og ansvar for tiltakene må være klare og tydelige. Det må være etablert klare frister for når tiltakene i handlingsplanene skal være gjennomført. Handlingsplanene bør oppdateres løpende dersom frister eller rolle- og ansvarsforhold endrer seg og endringen bør kommenteres. Forankring. Innholdet i handlingsplanene, herunder mål, tiltak, roller og ansvar, må være kommunisert og forankret på alle nivå. Ledelsens oppfølging og rapportering. For å sikre at tiltak i handlingsplanene får effekter, må ledelsen sørge for at disse faktisk følges opp. Dette kan skje ved oppfølging og rapportering av fastsatte tiltak. Det må være tydelige rapporteringslinjer i oppfølgingen av handlingsplanene. Dette innebærer at det må være definert hvem som skal rapportere på de enkelte tiltak internt i selskapet, samt hvor og til hvilken tid det skal rapporteres. Når det gjelder rapporteringen må den være pålitelig både internt i selskapet og til styret. Pålitelig rapportering sørger for at mottakerne får nøyaktig og fullstendig informasjon som er tilpasset formålet den er ment for. Den støtter ledelsen og styret i dens beslutningstaking og oppfølging av virksomhetens aktiviteter og resultater. 5. Vurderingskriterier Vurderingskriterier Revisjonsrapport 1/2016 Internrevisjon Side 6 av 13
Vurderingskriterier Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Det er ikke behov for tiltak. Det er observert svakheter i styring og kontroll i prosessen som er kartlagt. Det bør settes i verk tiltak. Det er observert vesentlige feil og/eller svakheter i intern styring og kontroll i prosessen. Det må settes i verk tiltak. 6. Oppsummering av funn Problemstilling 1: I hvilken grad har Pasientreiser ANS etablert et hensiktsmessig og effektivt system for oppfølging av internrevisjonsrapporter / anbefalinger? Nr Kriterier Observasjon Vurdering/Anbefaling 6.1 Tilstrekkelige og hensiktsmessige handlingsplaner Roller, ansvar og frister Forankring på alle nivå Ledelsens oppfølging og rapportering Internrevisjonen observerer at handlingsplanene som er utarbeidet etter de 4 revisjonene er dekkende og det er definert tiltak som er tilstrekkelige og hensiktsmessig for de gitte anbefalingene. Roller og ansvar for å utarbeide tiltak med klare frister for når tiltakene i handlingsplanene skal være gjennomført er etablert og forankret på alle nivå i Pasientreiser ANS. Ansvar for gjennomføring av tiltak er i stor grad lagt i linjen. Kvalitetsrådgiver er gitt ansvar for å koordinere tiltaksarbeidet, dvs. følge opp frister og helheten med de som er gitt et ansvar for gjennomføring av tiltakene og også rapportere status i tiltaksarbeidet til Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Internrevisjonen har et forbedringsforslag knyttet til at Pasientreiser ANS bør vurdere å dokumentere koordineringen /oppgavene som kvalitetsrådgiver utfører. Revisjonsrapport 1/2016 Internrevisjon Side 7 av 13
ledergruppen. Kvalitetssystemet TQM benyttes til å registrere og følge opp tiltaksarbeidet. Kvalitetsrådgiver har en viktig rolle i systemet som er etablert i oppfølging av anbefalinger og i bruk av TQM. Ledelsens oppfølging v tiltaksarbeidet og rapporteringslinjer inn mot ledergruppen og videre mot styre er satt i system. Problemstilling 2:I hvilken grad er tiltaksplaner etter revisjonene styrebehandlet og implementert? Nr Observasjon 6.2 I systemet som er beskrevet i problemstilling 1 inngår også å sikre at tiltaksplaner etter revisjonen blir styrebehandlet og videre oppfølging av at tiltak blir implementert og skal inngå som en del av internkontrollen. Revisjon 1/2013 Revisjon av tverrgående prosesser mellom helseforetak som har pasientreisekontor og Pasientreiser ANS, der Pasientreiser ANS er ansvarlige. I denne revisjonen ble det totalt gitt 19 anbefalinger, hvorav 8 av disse er definert å være Pasientreiser ANS sitt ansvar. Internrevisjonen observerer at tiltakene er medtatt i en handlingsplan som ble behandlet i styre i ulike saker; sak 39-2013 (fremleggelse av revisjonsrapport), sak 58-2013 (oppfølging), sak 32-2014 (oppfølging) og sak 59-2014 (sluttrapportering). I tillegg er tiltak knyttet til enkelte anbefalinger blitt behandlet i styre som egne Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Det er ikke behov for tiltak Revisjonsrapport 1/2016 Internrevisjon Side 8 av 13
saker. Revisjon 2/2013 Oppfølgingsrevisjoner fra 2011/2012 Alle områdene var vurdert i grønn sone. Det ble gitt 2 forbedringsforslag knyttet til gjennomføring av beredskapsøvelser og risikostyring. Internrevisjonen observerer at tiltak knyttet til begge områdene er behandlet og inngår i flere styresaker; sak 30-2014, sak 05-2015,sak 36-2015,sak 07-2016 og administrerende direktørs orientering styremøte 6.4.2016. I tillegg viser revisjonen at tiltakene er satt i system og inngår i internkontrollen både når det gjelder risikohåndtering og beredskapsøvelser. Revisjon 1/2014 Selskapets prosess for å bli sertifisert i henhold til ISO14001:2004. Det ble gitt anbefalinger til områder som Pasientreiser ANS måtte arbeide videre med for å bli sertifisert. Internrevisjonen observerer at rapporten ble framlagt for styre i sak 15-2014 og senere i sak 31-2014 da Pasientreiser ANS ble miljøsertifisert. Som en del av å være miljøsertifisert vil det jevnlig ble gjennomført nye revisjoner. Revisjon 2/2014 Revisjon av intern styring og kontroll i tilgangsstyring og endringshåndtering i IT-systemet NISSY Det ble 4 gitt anbefalinger i revisjonen. Internrevisjonen observerer at Pasientreiser ANS har utarbeidet en handlingsplan som dekker anbefalingene og at disse er behandlet i styre i følgende saker: sak 03-2015 (fremleggelse av revisjonsrapport), sak 06-2015 (oppfølging og handlingsplan) sak 34-2015 (sluttrapport). I tillegg inngår enkelte områder knyttet til NISSY i sak 36-2015 (resultat av gjennomgang internkontroll ved PRK). Revisjonen viser at tiltakene er implementert. Revisjonsrapport 1/2016 Internrevisjon Side 9 av 13
Problemstilling 3: I Hvilken grad virker tiltakene som forutsatt? Nr Observasjon 6.3 Revisjonen viser at definering og gjennomføring av tiltak skjer i linjen og inngå i internkontrollen. Det er definert ulike interne prosesser som de ulike tiltakene inngår i (eks.endrings- og releaseprosess og tilgangsstyring) og avvik vil bli fulgt opp. Det pågår forbedringsarbeid i form av prosjekter på flere vesentlige områder som det i tidligere revisjoner er gitt anbefalinger på og som er i videreutvikling. Pasientreiser ANS gjennomfører regelmessige risikovurderinger som også vil kunne avdekke om tiltakene ikke fungerer som forutsatt. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Internrevisjonen har et forbedringsforslag knyttet til at Pasientreiser ANS bør vurdere å definere effektmål for tiltakene og benytte tilgjengelig funksjonalitet i TQM på dette området. Måling av effekt av tiltakene er i dag ikke obligatorisk. Det er lagt opp til at effektmål kan legges i TQM, men dette er ikke tatt i bruk. Problemstilling 4: Hva er eventuelt årsakene til at tiltak ikke er iverksatt/virker som forutsatt? Nr Observasjon 6.4 Revisjonen viser at Pasientreiser ANS har iverksatt tiltak på alle anbefalinger som er gitt i revisjonsrapportene. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Det er ikke behov for tiltak. Revisjonsrapport 1/2016 Internrevisjon Side 10 av 13
Problemstilling 5: I hvilken grad er gjenværende risiko på de tidligere reviderte områdene innenfor akseptabelt nivå? Nr Observasjon 6.5 Revisjonen viser at Pasientreiser ANS har en etablert et system for vurdering av risiko. Det benyttes en metodikk for gjennomføring av risikovurderinger som bl.a. innebærer vurdering av gjenværende risiko. Pasientreiser Ans gjennomfører regelmessige risikovurderinger på eget ansvarsområdet både når det gjelder daglig drift og i prosjekter. I tillegg gjennomføres det også årlige risikovurderinger der Pasientkjørekontorene er involvert. Tidligere reviderte områder inngår i risikovurderingen i tillegg til andre aktuelle områder på gjennomføringstidspunktet. Det er ikke observert vesentlige feil og/eller svakheter i styring og kontroll i prosessen. Det er ikke behov for tiltak. 7. Vedlegg 7.1 Informasjonsgrunnlag Dokumentasjon Styresaker og referater ; for alle revisjoner som inngår i rapporten Revisjonsrapport 1/2016 Internrevisjon Side 11 av 13
Dokumentasjon Rapport fra hovedrevisjon ISO 14001 2014 Formell oversendelse av miljøsertifikat ISO 14001 Lukking av funn til rapport fra hovedrevisjon ISO 14001 2014 Rapport og funnliste miljørevisjon 2015 Prosedyre for risikovurderinger Akseptkriterier Brukerveiledning risikomodulen TQM Risikomal for prosjekter i Pasientreiser ANS Skjermdump av dokumenter om beredskap i TQM Endringsdokumentasjon NISSY Presentasjon om Intranett på Pasientreisekonferansen 2014 Endrings og releaseprosess Prosedyre for tilgangsstyring i NISSY Risikoområder knyttet til personvern og informasjonssikkerhet Testpolicy for Pasientreiser ANS 7.2 Gjennomførte intervjuer Dato Navn 01.06.2016 Alf Olav Uldal Revisjonsrapport 1/2016 Internrevisjon Side 12 av 13
7.3 Saksgang Dato Aktivitet Uke 15-16 Planlegging av revisjonen Uke 16 Innledende risikoanalyse og dialog med selskapets ledelse og styre om omfang / avgrensning Uke 16-21 Dokumentgjennomgang og intervjuer Uke 22 Vurdering av resultater og gjennomgang av dialog om funn 17.6.2016 Oversendelse av rapportutkast til verifisering av fakta 22.6.2016 Svar fra risikoeier på rapportutkast 23.6.2016 Utsendelse av endelig rapport 15.9.2016 Styrebehandling Revisjonsrapport 1/2016 Internrevisjon Side 13 av 13