Enhet for Intern Revisjon REVISJONSRAPPORT. Arkivfunksjonene ved UiO

Revisjonsrapport Arkivfunksjonene ved UiO Side 1 av 10 Enhet for Intern Revisjon REVISJONSRAPPORT Arkivfunksjonene ved UiO Distribusjon: OPA esak Gjennomført mai - august 2012 av: Rådgiver Cecilie Thorberg Revisjonssjef Sveinung Svanberg Blindern, september 2012

Revisjonsrapport Arkivfunksjonene ved UiO Side 2 av 10 Innhold 1. Oppdraget... 3 1.1. Bakgrunn og formål for oppdraget... 3 1.2. Avgrensing... 3 1.3. Framgangsmåte... 3 2. Intern kontroll for arkivfunksjonene på UiO... 3 2.1. Kontrollmiljøet... 4 2.1.1. Organisering, ansvar og myndighet... 4 2.1.2. Kompetanse og bemanning... 5 2.2. Risikovurdering... 6 2.2.1. Risiko for at arkivet ikke er oppdatert og/eller tilgjengelig... 6 2.2.2. Risiko for at arkivet ikke er godt registrert eller sikkert lagret... 7 2.2.3. Risiko for at arkivet ikke ivaretar rettslig og historisk dokumentasjon for ettertiden... 7 2.2.4. Sårbarhets- og risikovurdering av ephorte... 8 2.2.5. ephortes bidrag til effektivisering... 8 2.3. Kontrollaktiviteter / Oppfølging... 9 2.4. Informasjon og kommunikasjon... 9 3. Konklusjon... 10 Vedlegg

Revisjonsrapport Arkivfunksjonene ved UiO Side 3 av 10 1. Oppdraget 1.1. Bakgrunn og formål for oppdraget Universitetet i Oslo gikk for 4 år siden over fra fysisk til elektronisk arkivering, noe som har ført til at flere arkivoppgaver har en flytende overgang til saksbehandling. Selve arkiveringen har endret seg fra å bli utført av arkivmedarbeidere, til å bli utført av andre ansatte; i første rekke saksbehandlere. Det er i den forbindelse blitt stilt spørsmål om vi har god nok kontroll på arkivet til UiO. I henhold til Forskrift om offentlige arkiver av 11.desember 1998 2-2, er alle offentlige organ pålagt å ha en arkivplan. Arkivplanen ved UiO dokumenterer arkivorganisasjonen, oppbyggingen av arkivet og den gir regler for hvordan dette skal forvaltes. Personer som forvalter arkivet skal arbeide etter følgende målsetting: Arkivet skal være en oppdatert og tilgjengelig informasjonsbase for saksbehandling og offentlig innsyn. Arkivet skal være godt registrert og sikkert lagret. Arbeidsrutiner, arkivsystem og informasjonsbærere skal være mål for kvalitetssikring. Arkivet skal på en trygg måte ivareta rettslig og historisk dokumentasjon for ettertiden. FORMÅLET med revisjonen er å vurdere om det interne kontrollsystemet som er etablert, er tilstrekkelig og hensiktsmessig, og om det gir en rimelig sikkerhet for at ARKIVFUNKSJONEN ved UiO når sine målsettinger. Organisering, roller, ansvar og myndighet er sentrale elementer også i den sammenheng. 1.2. Avgrensing Vi har i revisjonen ikke sett på hvilke type dokumenter som ligger i andre systemer enn ephorte og som muligens er arkivverdige. I intervjuene ble det uttrykt bekymring for at en del materiale lagres utenfor ephorte, slik som i fagsystemer, sakssystemer og studentsystemer. Dette ble også bekreftet i spørreundersøkelsen. Her må det jobbes med hvert enkelt system, evt. sammen med arkivmedarbeidere, for å finne ut av hva som må til for å arkivere disse dokumentene ihht. arkivloven. 1 1.3. Framgangsmåte Revisjonen ble gjennomført med intervjurunder hos OPA, e-sak og arkivledere. I tillegg laget vi en spørreundersøkelse som ble sendt ut til 492 saksbehandlere, hvorav 47 % svarte. Dette er en svarprosent vi er godt fornøyd med. En grafisk fremstilling av resultatene ligger som vedlegg til revisjonsrapporten. (se vedlegg 1) 2. Intern kontroll for arkivfunksjonene på UiO Revisjonsrapporten er strukturert slik at arkivfunksjonen på UiO blir vurdert på kontrollmiljøet, risiko og sårbarhet, kontrollaktivitetene og oppfølgningen, og den interne informasjons- og kommunikasjonsflyten. 1 Se avsnitt 2.2.1

Revisjonsrapport Arkivfunksjonene ved UiO Side 4 av 10 2.1. Kontrollmiljøet Kontrollmiljøet setter standarden for en organisasjon når det gjelder å påvirke de ansattes holdning til kontroll og styring. Det danner grunnlaget for de øvrige kontrollkomponentene og gir orden og struktur. Kontrollmiljøets faktorer inkluderer integriteten, etiske verdier og kompetanse hos virksomhetens medarbeidere, ledelsens filosofi og driftsform, måten ledelsen fordeler ansvar og myndighet på, og hvordan den organiserer og utvikler de menneskelige ressurser, samt til slutt styrets tilsyns- og styringsfunksjon. (Dette er samme tilnærmingsform i forhold til det å sikre en tilfredsstillende intern kontroll på som Riksrevisjonen benytter i sitt arbeid). 2.1.1. Organisering, ansvar og myndighet Arkivfunksjonen ved UiO er svært fragmentert. Det er hele 17 delarkiver av forskjellig størrelse. Bemanningen er fra ½ til 6 fulle årsverk. De er administrativt knyttet opp mot fakultetene og tilsvarende enheter. Enhetene har ansvaret for at arkivfunksjonen blir løst i henhold til gjeldene lover og forskrifter. I tillegg til arkivansvarlig og dens medarbeidere har enhetene etablert superbrukere på ephorte som fungerer som en avlastning for arkivmedarbeiderne i forhold til systemhjelp for saksbehandlere. I intervjuene kom det frem at støtten delarkivene har fått hos enhetens ledelse, har vært avhengig av arkivkompentansen- og interessen til ledelsen. Selv om de arkivansvarlige på delarkivene har en rekke faglige krav 2 på seg til arkivarbeidet, er det fakultetsledelsen som har ansvar og myndighet. Det betyr at arkivansvarlige ikke kan instruere saksbehandlere. Vi har likevel fått inntrykk av at de fleste saksbehandlere er lydhøre ovenfor arkivfunksjonen. Fig.1: Forenklet fremstilling av organisering av arkivfunksjonen ved UiO 2 http://uio.arkivplan.no/content/view/full/29921

Revisjonsrapport Arkivfunksjonene ved UiO Side 5 av 10 Det faglige ansvaret for universitetets samlede arkivtjeneste, for arkivdanning og for bevaringen av administrativt materiale, ligger sentralt. Dette ansvaret ivaretas av arkivleder på Seksjon for forvalting av elektronisk saksbehandling og dokumentasjon (esak), som er organisert under OPA. På OPAs nettsider 3 og i UiOs arkivplan 4 finner vi flere beskrivelser av hva esak og arkivleders ansvar er. Under intervjurunden med medarbeidere ved delarkivene kom det tydelig frem at mange ikke hadde det klart for seg hva som er esaks oppgaver og hvilke forhold det er ment de skal ha til delarkivene. Arkivleder har dessuten ingen myndighet i forhold til delarkivene, og dette gjør det vanskelig for arkivleder å ivareta sitt ansvar. Dette er uttrykt i IHR-dokumentet roller og ansvar: «Myndighet uten ansvar er like ille som ansvar uten myndighet». Det har i flere sammenhenger blitt pekt på at roller, ansvar og myndighet er et problemområde ved UiO. Derfor er det også opprettet en egen plangruppe i IHR-prosjektet som skal følge opp dette. Effekter av IHRs arbeid er blant annet forventet å være: Klarere ansvarsforhold og rapporteringslinjer Tydeligere ledelse Slik EIR ser det, vil klargjøring av rolle, myndighet og ansvar være viktig for arkivfunksjonen ved UiO. En mulig konsekvens av at arkivet ikke er samlet under én ledelse, er at innsynsbegjæring håndteres ulikt på de forskjellige stedene på UiO. Til sammenlikning håndteres dette sentralt hos UiB. Den todelte ledelsen som delarkivene er underlagt, har resultert i at delarkivene hovedsakelig føler seg knyttet til enheten de administrativt er underlagt. Arkivleder mangler den myndigheten som trengs for en helhetlig styring av arkivfunksjonen. Det er en svakhet at det ikke foreligger en klar og entydig målformulering for esak som er kjent og forstått blant det desentrale arkivpersonalet ved UiO. Vi anbefaler at esaks målsettinger og forventede bidrag ovenfor delarkivene blir tydeliggjort, og gjort lett tilgjengelig. 2.1.2. Kompetanse og bemanning Det eksisterer en stor grad av yrkesstolthet og positivitet i forhold til arkivfunksjonen og dens arbeidsoppgaver, både sentralt og på delarkivene. Personalet framstår som engasjerte og kompetente. Enkelte enheter har gode nettverk og kontakter i og utenfor UiO hvor de innhenter informasjon ved behov. Noen av enhetene savner flere kurs og opplæringstilbud og føler seg isolert i forhold til UiO s sentrale arkivfunksjon. Det siste kan ha med organiseringen av arkivfunksjonen å gjøre og må sees i sammenheng med intern kommunikasjon og informasjon. Noen av enhetene har uttrykt at de gjerne skulle hatt mer tid for å kunne følge opp saksbehandlerne bedre. Saksbehandlere som også er superbrukere er arkivfunksjonens forlengede arm, og det er særdeles viktig at de er kunnskapsrike og serviceinnstilt. I intervjuene med delarkivene ble det uttrykt ønske om at esak gjerne kunne hatt flere personer med høyere arkivfaglig kompetanse. 3 http://www.uio.no/om/organisasjon/adm/opa/esak/ 4 http://uio.arkivplan.no/content/view/full/29920

Revisjonsrapport Arkivfunksjonene ved UiO Side 6 av 10 For øvrig viste spørreundersøkelsen vår at ca.40% av alle spurte saksbehandlere mener at de ikke har fått god nok opplæring i saksbehandlingsrutiner. Dette er ikke esak sitt ansvar, men kan ha konsekvenser for kvaliteten og omfanget på det som arkiveres. Vi anbefaler at det gjøres en kartlegging av hvilke opplæringsbehov som er tilstede på delarkivene og at en evt. opplæring ses i sammenheng med intern kompetanseutveksling og interne arkivforum. Når organiseringen på arkiv gjennomgås av IHR i høst, vil vi anta at kompetanse og bemanning hos esak blir sett nærmere på. 2.2. Risikovurdering Vurderingene vi har gjort i denne revisjonen baserer seg på arkivfunksjonens målsettinger jmf. pkt. 1.1.. Nedenfor omtaler vi målene hver for seg, selv om de i praksis er noe overlappende. Sårbarhets- og risikovurdering av ephorte som OPA selv har gjennomført, blir kort omtalt under pkt. 2.2.4. I tillegg har vi gjort noen betraktninger på effektivitet av arkivfunksjonen under pkt. 2.2.5. Målsettingene (pkt.1.1) preger arbeidet ved delarkivene og ved esak. Det arkivverdige materiale blir imidlertid produsert ute i organisasjonen hos bl.a. saksbehandlere og ledere, og det er der en viktig del av risikoen ligger. Spørreundersøkelsen vår viste at det generelt var svak kunnskap hos saksbehandlere og ledere til Arkivloven og forskrift til Arkivloven. Nedenfor vises resultatene samlet fra alle enheter på hvorvidt saksbehandlere og ledere vet om ens egen enhet har en arkivplan. Kun 22 % var klar over dette og kun 17 % visste hvor de kunne finne den. Påstand: "Min enhet har en arkivplan" Ja Nei Vet ikke 22 % 62 % 16 % Fig.2: Svar fra spørreundersøkelsen 2.2.1. Risiko for at arkivet ikke er oppdatert og/eller tilgjengelig Den største risikoen for at arkivet ikke er oppdatert ligger i at ephorte har en høy brukerterskel. På 61,5% av besvarelsene er det angitt at brukerterskelen er for høy. Arkivmedarbeidere kan følge opp alt som er lagt inn i ephorte, men de har ikke oversikt over det som ikke blir lagt inn. Et stort antall medarbeidere har i spørreundersøkelsen gjort særskilte merknader om hva man ikke arkiverer i ephorte. Hva slags materiale det dreier seg om, foreligger som råmateriale i et ikke bearbeidet dokument. En del av det som er oppgitt holdt utenfor mener vi skal arkiveres i ephorte. 5 Undersøkelsen vår viste at 30% av de som svarte ikke alltid bruker ephorte til saksbehandling. I tillegg 5 Dette råmaterialet er er tilgjengelig om det ønskes.

Revisjonsrapport Arkivfunksjonene ved UiO Side 7 av 10 til at arkivet i ephorte trolig ikke er komplett, er det også en risiko for at dokumenter blir lagt inn eller behandlet for sent. Vi presiserer at delarkivene ikke nødvendigvis har eller kan ha et forhold til hva som er arkivverdig av det materialet som ikke legges inn i ephorte. Dette kan typisk være dokumenter fra andre systemer som epost, VORTEX, fagsystemer etc. Det er en grenseoppgang som må trekkes, og et informasjonsarbeid som må gjøres her. Tilgjengeligheten av arkivverdig materiale avhenger av at det får sin plass i UiOs arkiver, tidligere det fysiske arkivet og nå ephorte. Det materialet som blir lagret i fysiske mapper på kontorer, i fagsystemer, i VORTEX etc., er mer personavhengig og det er en risiko for at materialet ikke er tilgjengelig ved behov. Brukergrensesnittet i ephorte er for høyt, og dette sammen med usikkerhet om hva som må ligge i ephorte, er hovedgrunnene til at arkivet ikke er oppdatert og så tilgjengelig som ønskelig. 2.2.2. Risiko for at arkivet ikke er godt registrert eller sikkert lagret For å sikre god registrering av dokumentene er arkivnøkkel og tittelen på dokumentet viktig. Revisjonen viser at noen fakulteter har gode retningslinjer på hva en tittel skal inneholde, mens andre overlater det til den enkelte saksbehandler å avgjøre. Spørreundersøkelsen viste at brukere av ephorte ofte har problemer med å finne frem til andres dokumenter, men det er sjelden at dokumenter ikke blir funnet i det hele tatt. Stort sett tilfredsstillende. Vi oppfordrer til diskusjoner rundt hvorvidt man kan innføre felles retningslinjer for alle enheter. Spesielt UV ser ut til å ha gode rutiner på dette. 2.2.3. Risiko for at arkivet ikke ivaretar rettslig og historisk dokumentasjon for ettertiden UiO har store mengder fysisk arkivverdig materiale som oppbevares på lager. Flere og flere av disse gamle arkivene har fått godkjente oppbevaringslokaler, men noe materiale står fortsatt i rom på en rekke forskjellige steder ved UiO. Steder om ikke alltid er godkjent for formålet. Det gjenstår også en jobb mht å systematisere dette materialet, slik at det blir klart for overlevering til Riksarkivet. Dette er etter hva vi forstår en stor jobb som vil kreve ekstra ressurser. Det er stor usikkerhet hos mange enheter vedr. kassasjonsregler og fremdriften på overlevering av historisk materiale. Overlevering av elektronisk arkiv fra ephorte til riksarkivaren er det pr. dags dato ingen av de vi har vært i kontakt med som vet hvordan skal gjøres, og man har ingen kunnskap om hva dette krever av ressurser. Det bør settes av ressurser til å systematisere, kassere og overlevere gammelt materiale til Riksarkivet. Hovedbekymringen ligger likevel i at arkivverdig materialeutenfor ephorte, i følge utsagn fra intervjuede medarbeidere, øker og at mengden dokumenter som må gjennomgås i ettertid stadig blir større. 6 6 Etter at revisjonsarbeidet ble avsluyttet, har vi fått opplyst at det er nedsatt et utvbalg i UH-sektoren som arbeider med kassasjonsreglene.

Revisjonsrapport Arkivfunksjonene ved UiO Side 8 av 10 2.2.4. Sårbarhets- og risikovurdering av ephorte OPA har gjennomført en sårbarhets- og risikoanalyse av ephorte 7 ; «Sikkerheten i ephorte». Prinsippene som ligger til grunn blir fortløpende ivaretatt av driften, men sårbarhet, risiko og handlingsplan er ikke blitt fulgt opp konkret. Som styringsverktøy vil et dokument med vurdering av risikoutviklingen og oppfølging av konkrete handlingsplaner være nyttig. I tillegg til at sårbarhetsanalysen peker på svak systemdokumentasjon av ephorte, er det også ved UiO oppdaget sikkerhetshull som leverandøren ikke har visst om. Det går med store ressurser på å rette opp disse sikkerhetshullene. Revisjonen viste at ephorte er stabil i drift og at nesten all nedetid har vært planlagt. Risikoen for driftsbrudd ansees således å være liten. EIR anbefaler at løpende risikoanalyse og handlingsplaner blir nedfelt i arbeidsdokumenter. Et slikt dokument kan bidra til felles forståelse i organisasjonen av risikoer og fungere som et styringsverktøy. Vi anbefaler også at det gjøres en vurdering på om ephorte vil være egnet for integrasjon med andre systemer; jfr. også punkt 1.2 Avgrensning, og neste punkt 2.2.5 om effektivisering. 2.2.5. ephortes bidrag til effektivisering Når det gjelder effektivitet, så har ephorte vært en suksess med Personalrutineprosjektet. Det er oppnådd klare gevinster, og ephorte har vist seg som et nyttig verktøy. Målinger blant brukerne viser en meget høy grad av tilfredshet med effekten av prosjektet. Men bortsett fra dette prosjektet har vi registrert at det er tildels stor frustrasjon med ephorte fordi brukerterskelen oppleves som for høy. Studentinformasjon er et typisk eksempel på opplysning som dobbeltregistreres, både i FS og i ephorte. ephorte har svak systemdokumentasjon 8 og vi har utsagn om at det krever mye jobb før integrasjon mot andre systemer er mulig. Vi har i revisjonen også konstatert at ephortes lite brukervennlige grensesnitt har ført til at UiOledelsen i liten grad har benyttet systemet som forutsatt. Dette er bemerket i mange av de intervjuene vi har gjennomført, og har i følge intervjuobjektene, gjort det vanskeligere å selge inn ephorte hos saksbehandlerne. OPA bør sette fokus først på det som er likt for alle fakulteter for å effektivisere prosesser (slik det ble gjort med lønn). Mye unødig dobbeltregistrering foregår og det er svært forskjellig fra fakultet til fakultet hva som legges inn hvor. Som systemeier av ephorte bør OPA ha et pådriveransvar for at de gevinstene man signaliserte innføringen av ephorte ville gi, faktisk blir tatt ut. Studieavdelingen anbefales å lage klare retningslinjer for hva som skal registreres når det gjelder studentinformasjon. Når nye systemer innføres, er det viktig at universitetsledelsen går foran som eksempler. 7 http://uio.arkivplan.no/content/view/full/29871 8 http://uio.arkivplan.no/content/view/full/29871, pkt.4

Revisjonsrapport Arkivfunksjonene ved UiO Side 9 av 10 2.3. Kontrollaktiviteter / Oppfølging Både esak og arkivledere kan ta ut en del rapporter fra ephorte for å få oversikt over bl.a. post som ikke er fordelt, restanser, dokumenter som ligger klar til godkjenning hos leder etc. Utover dette foregår det ikke noen kontroll eller oppfølgingsaktiviteter. Fra rapportene kan esak raskt få informasjon og overblikk over hvor skoen trykker ute på enhetene, de har som nevnt tidligere i rapporten mulighet til å si ifra, men ikke til å instruere da de ikke har personalansvar. esak har i hovedsak den informasjonen de trenger fra rapportuttak, men mangler myndighet til å følge opp på en tilfredsstillende måte. 2.4. Informasjon og kommunikasjon Arkivleder er medlem i OPAs ledergruppe, og rapportering til OPA-ledelsen skjer i stor grad i det forumet. Dette synes å være en fornuftig ordning. Det er ikke lagt opp til noen form for rapportering fra de desentrale enhetene til esak-seksjonen. Det har sin bakgrunn i at de desentrale arkivenhetene administrativt ikke er underlagt e-sak. Rapporteringen fra delarkivene til administrativ ledelse er forskjellig på de ulike fakultetene. Hvor god kontakten mellom arkiv og fakultetsledelsen er, avhenger av ledelsens forståelse for arkivfunksjonens betydning, og interessen for dens oppgaver. Men de store problemene har vi ikke sett. Kommunikasjon og informasjon mellom delarkivene og esak/opa er ikke tilfredsstillende. Som nevnt under pkt. «2.1.1. Organisering, ansvar og myndighet», så er delarkivene usikre på hvilken rolle esak har. I tillegg etterlyses det tydeligere mål/strategi for hva man ønsker med dokumentasjonen og arkivet. Det etterlyses også informasjon i forhold til ephorte rundt videre utvikling og oppgraderinger. Vi har fått informasjon om at arkivledermøter blir gjennomført med relativt jevne mellomrom. Dette er et godt tiltak som vi anbefaler videreført, men agendaen bør blir tydeligere, møtene strammes inn og møteledelsen bør bli mer bevisst på å trekke konklusjoner. Internt arkivforum er også noe som har blitt gjennomført ved flere anledninger. Etter det vi har forstått er målet å holde dette en gang i året. Her samles alle arkivmedarbeidere og det kan også være eksterne foredragsholdere som blir leid inn. Dette er en arena vi har fått klare meldinger fra arkivpersonalet om at det er stort behov for. Arkivledermøtene bør ha en tydeligere funksjon med faste rammer og klarekonklusjonsdragninger slik at det er mulig å følge opp konklusjonene i ettertid. I forhold til Arkivforum er vår oppfatning at dette bør gjennomføres oftere, som en kunnskapsdelingsarena, men ikke nødvendigvis alltid med eksterne foredragsholdere.

Revisjonsrapport Arkivfunksjonene ved UiO Side 10 av 10 3. Konklusjon ephorte har ikke blitt det tjenlige verktøy for hele UiO som man hadde håpet på da systemet ble tatt i bruk. Hovedårsaken til det er at brukerterskelen er høy, og at systemet et lite intuitivt. Dermed blir en del dokumenter lagret/arkivert i andre systemer, og i noen tilfeller lagret fysisk hos den enkelte medarbeider. Dette medfører risiko for at saker kommer på avveie, og/eller at de ikke blir gjenfunnet når det er behov. F.eks. når det kreves innsyn i saksbehandlingen. Arkivpersonalet er imidlertid fornøyd med at det er enkelt å finne saker som er lagt inn i systemet, og det er ikke konstatert at registrerte saker har kommet på avveie. Når det gjelder organiseringen av arkivledelsen og arkivfunksjonen ved UiO, er det ikke sammenheng mellom ansvar og myndighet. En følge av dette er at esaks rolle oppfattes som uklar av mange arkivmedarbeidere, og at møter i felles fora ikke blir så effektive og klargjørende som de burde være. Misforholdet mellom ansvar og myndighet står i sterk kontrast til målsettingen med IHR-prosjektet. Vi regner med at problemet vil bli adressert og løst i prosjektet. Cecilie Thorberg (sign) Rådgiver Sveinung Svanberg (sign) Revisjonssjef