Risikostyring i staten

Risikostyring i staten Risikostyring stat Det foregår en rekke endringer innenfor statlig økonomistyring som samlet utgjør en reform av måten statlige virksomheter driver sin styring på. Behovet for god strategisk styring har økt som følge av økte krav til effektiv ressursutnyttelse og de mange og omfattende reform- og omstillingsprosessene i staten. Disse forholdene øker også behovet for god risikostyring i staten. Det statlige økonomiregelverket stiller nå krav om risikostyring i statlige virksomheter. I regelverket gis det ikke nærmere anvisning om hvordan dette skal utformes eller gjennomføres i virksomhetene. Senter for statlig økonomistyring (SSØ) utarbeidet derfor i 2005 et metodedokument for risikostyring og intern kontroll i staten. Artikkelen setter risikostyring i staten inn i et større perspektiv og belyser metoden og de viktigste utfordringene. Videre gir den innblikk i noen erfaringer og refleksjoner omkring utarbeidelsen av metodedokumentet samt den rolle SSØ vil ha framover. Til slutt omtales intern revisjon i staten. Av Marianne Andreassen og Bente Nyrud Gobel 1 Reformer med sikte på mer effektiv ressursbruk i staten Mål- og resultatstyring er det overordnede styringsprinsipp i statlig forvaltning. Dette innebærer at det skal settes mål og at oppnådde resultater skal sammenholdes med målene som er satt. Prinsippet gjelder på og mellom alle nivåer i staten. Et departement skal sette mål og resultatkrav for seg og sine underliggende virksomheter basert på Stortingets vedtak og forutsetninger. Underliggende virksomheter skal i sin virksomhetsstyring ha mål og resultatkrav som er i samsvar med eller avledet av departementets krav. Økonomistyringen er selve gjennomføringen av mål- og resultatstyringen, dvs. styring av ressursbruken slik at: Mål- og resultater oppnås innenfor rammen av disponible ressurser og i tråd med forutsetningene som Stortinget har gitt Ressursbruken er effektiv Disse styringsprinsippene kan kanskje virke innlysende og selvsagte, men det er likevel en rekke utfordringer knyttet til operasjonaliseringen og gjennomføringen som gjør at det er behov for reformer på området. En viktig del av reformprosessene dreier seg om å etablere styringsstrukturer som gir gode insentiver for å drive effektivt i staten. Effektiv ressursbruk skal sikre at mest mulig av skattebetalernes penger kommer befolkningen til gode, og ikke sløses bort i ineffektive arbeidsprosesser og unødvendig stort byråkrati og administrasjon. Effektiv ressursbruk i det offentlige skal også understøtte en god ressursfordeling mellom offentlig og privat sektor på lang sikt, ved å sikre at det offentlige ikke legger et for stort beslag på de samlede ressursene i samfunnet. Det foregår for tiden en rekke endringsprosesser innenfor statlig økonomistyring, som samlet gir mål- og resultatstyringen et nytt innhold: Større frihetsgrader i innretningen av økonomistyringen mindre detaljerte krav gir mulighet for å tilpasse styringen til virksomhetens mål og egenart Gjennomgående krav til god risikostyring Økt bruk av samfunnsøkonomiske analyser og evalueringer Utvikling av metoder for resultatmålinger Utprøving av ny styringsinformasjon fra kontantprinsipp til periodiseringsprinsipp Krav til å drive langsiktig planlegging, selv om budsjettperioden er ettårig Disse elementene henger sammen ved at de på ulike måter skal gi en god strategisk styring og effektiv ressursbruk i staten. I denne artikkelen vil vi gå nærmere inn på de to første punktene. 1.1 Større frihetsgrader i innretningen av økonomistyringen Staten driver svært mange ulike typer aktiviteter. Statlig virksomhet skiller seg fra virksomhet i privat sektor på flere viktige måter: Staten har andre typer mål enn private foretak (velferds-/samfunnsmål framfor overskuddsmål) Opptjeningen av inntekter er grunnleggende forskjellig ved at virksomhet i statsforvaltningen i hovedsak er skattefinansiert ikke finansiert av markedets betalingsvillighet Statlige virksomheter kan ikke gå konkurs For mange typer statlig aktivitet eksisterer det ikke noe marked for sluttleveranser til brukere (fellesgoder som for eksempel forsvar, politi, rettsvesen mv.) Erkjennelsen av de mange ulike målene og aktivitetene som statlige virksomheter har alt fra å forvalte lover og drive tilsyn, til en rekke ulike former for velferdsproduksjon har ført til at reguleringen av økonomistyringen i statlige virksomheter har gått fra stor grad av detaljregulering til færre og langt mer overordnede og prinsipielle krav. Virksomheten kan nå selv innrette økonomistyringen ut fra sin egenart. En sentral utfordring for statlige virksomheter er å benytte seg av denne friheten som ligger i det reviderte økonomiregelverket som trådte i kraft pr. 01.01.2004. En viktig endring i rammebetingelsene er også at elektroniske arbeidsprosesser er blitt likestilte med papirbaserte. Dette gir et godt utgangspunkt for det videre arbeidet med å redusere ressursinnsatsen innenfor transaksjonsbasert styring til fordel for økt fokus på strategisk styring (herunder risikostyring) i statlige virksomheter. 1.2 Gjennomgående krav til god risikostyring En viktig videreutvikling av styringsprosessene i staten er å bringe inn en mer strukturert tilnærming til risiko. Viktigheten av at staten mer aktivt håndterer risiko kommer blant annet til uttrykk i saker som omstillingene i forsvaret, flyttingen av tilsyn ut av Oslo, krisehåndtering i Utenriksdepartementet (Tsunami-krisen), barnehagereformen (makspris og barnehagedekning) og Utlendingsdirektoratets saksbehandling (behandlingen av oppholdstillatelse for 197 irakere). Bedre risikostyring skal gi større sikkerhet for at målene nås, eller avdekke svakheter i forutsetningene for at målene kan nås. Bedre risikostyring forventes å redusere grunnlaget for merknader fra Riksrevisjonen. I økonomiregelverket for staten er det stilt gjennomgående krav til risikostyring ved at (sitat) styring, oppfølging, kontroll og forvaltning må tilpasses virksomhetens egenart samt risiko og vesentlighet. Med utgangspunkt i regelverkets krav til risikostyring og intern kontroll er det nå for første gang utviklet en metode for god risikostyring i statlige virksomheter generelt. Metodedokumentet beskriver hvordan virksomhetene på en strukturert måte kan benytte risikostyring og INTERNREVISOREN 1 06 9

intern kontroll som et verktøy for å gi rimelig sikkerhet for at virksomheten oppnår sine målsettinger. Dokumentet kan fritt lastes ned fra SSØs nettsider: www.sfso.no. I arbeidet med metodedokumentet ble det tatt utgangspunkt i et anerkjent internasjonalt rammeverk (COSO ERM, 2004). Den framgangsmåten som skisseres er tilpasset det statlige økonomiregelverket og statlige behov. Staten har med dette tatt et viktig grep i å etablere god styringsmetodikk, og plasserer Norge langt framme når det gjelder å ta i bruk risikostyring i det offentlige. Metoden understreker sterkt at risikostyringen må integreres ikke leve på siden av den løpende mål- og resultatstyringen i virksomhetene. Dette betyr i praksis at denne må være en del av strategiprosessene og øvrige plan- og oppfølgingsprosesser. På mer operative nivåer vil det være naturlig at det gjennomføres risikovurderinger og iverksettes ulike tiltak og kontrollaktiviteter i forbindelse med utforming av operative prosesser. Slike vurderinger bør utføres periodisk og når det skjer vesentlige endringer i forhold som påvirker prosessene. Risikostyring er også svært relevant i prosjekter som en virksomhet gjennomfører. 2 Håndtering av risiko i mål- og resultatstyringen Både eksterne og interne rammebetingelser påvirker de mulighetene virksomhetene har til å innfri de krav og forventninger de er stilt overfor. Utfordringer eller usikkerheter som kan påvirke måloppnåelse negativt, omtales gjerne som risikoer. Alle statlige virksomheter forholder seg daglig bevisst eller ubevisst til risiko i sin styring. Det er imidlertid et behov for en langt mer strukturert tilnærming til risikostyring i staten. En god mål- og resultatstyring forutsetter at virksomhetsledelsen kjenner og aktivt håndterer de risikoene de står overfor. Risikostyring og intern kontroll integrert i mål- og resultatstyringen skal bidra til at virksomhetene når sine mål med mer effektiv ressursbruk. Forsvarlig håndtering av risiko er nødvendig for alle departementer og underliggende virksomheter, uansett område, størrelse og kompleksitet. For at risikostyringen skal ha den ønskede verdi, er det svært viktig at den blir en integrert del av den samlede mål- og resultatstyringen. Hvis den bare blir en prosess på siden av, vil verdien mest sannsynlig bli begrenset. Figur 1 illustrerer sammenhengen mellom virksomhetens vurdering og håndtering av risikoer og den øvrige mål- og resultatstyringen: Hva er risikostyring i staten og hva skal oppnås med den? Økonomiregelverkets krav til risikostyring og intern kontroll i statlige virksomheter kan oppsummeres i beskrivelsen under: DEFINISJONER OG SENTRALE BEGREPER Risikostyring og intern kontroll er en prosess integrert i mål- og resultatstyringen som er utformet for å kunne identifisere, vurdere, håndtere og følge opp risiko slik at risikoen er innenfor akseptert nivå gjennomføres av virksomhetens ledelse og øvrige ansatte anvendes i fastsettelse av strategi og planer og på tvers av virksomheten for å gi rimelig grad av sikkerhet for virksomhetens oppnåelse av sine målsettinger. Kategorier av målsettinger virksomheten skal oppfylle: Mål og resultatkrav Pålitelig regnskapsrapportering og økonomiforvaltning Overholdelse av lover og regler Målsettingene skal oppnås innenfor de rammene som tildelte bevilgninger og eventuelle andre disponible ressurser setter. Definisjon av risiko: Det at forhold eller hendelser kan inntreffe og påvirke oppnåelse av målsettinger negativt. En risiko skal vurderes i forhold til sannsynligheten for at den inntreffer, og den forventede konsekvensen den vil medføre dersom den inntreffer. Resultatet av disse vurderingene angir hvor høy den enkelte risiko er. Det danner grunnlaget for å prioritere hvilke risikoer som anses som vesentlige i forhold til å kunne påvirke oppnåelsen av målsettinger negativt på ulike nivåer og som det derfor må legges vekt på videre i risikostyringsprosessen. Definisjon av risikotoleranse: Et akseptert nivå på risiko for ikke å nå den enkelte målsetting. Risikotoleransene tar utgangspunkt i den risiko, i et vidt perspektiv, som en virksomhet kan akseptere i arbeidet med å realisere sitt formål/sin visjon, og som ligger til grunn for virksomhetens strategier og relaterte målsettinger. Strategiene og målsettingene, som i sin tur styrer fordelingen av ressurser, avklares i samråd med overordnet organ. Når ledelsen vurderer en risiko til å være utenfor risikotoleransen, vil det være behov for å iverksette ytterligere tiltak og kontrollaktiviteter for å redusere risikoen til et akseptert nivå. På grunn av usikkerhet omkring framtiden, begrensede ressurser og begrensninger forbundet med enhver aktivitet vil det normalt ikke være mulig å redusere risikoen helt til null. Tiltak og kontrollaktiviteter: Tiltak og kontrollaktiviteter skal bringe gjenværende risiko i samsvar med akseptert nivå. Tiltakene innarbeides i handlingsplaner eller lignende, og kontrollaktivitetene skal sikre at tiltakene blir utført på en effektiv måte og til rett tid. Kontrollaktiviteter består vanligvis av to hovedelementer en beskrivelse av kontrollaktiviteten og hvordan den skal gjennomføres samt den faktiske gjennomføringen av aktiviteten. Valg av tiltak og kontrollaktiviteter: Valg av tiltak og tilhørende kontrollaktiviteter skal skje på bakgrunn av en vurdering av kostnad i forhold til nytte. Figur 1: Håndtering av risiko i mål- og resultatstyringen 10 INTERNREVISOREN 1 06

Uansett hvilket nivå i virksomheten risikostyring utøves på, vil den alltid ta utgangspunkt i de målene som er fastsatt for det enkelte nivået, og i de strategiene som er fastsatt for å nå dem. I en strategi vil enkelte forhold være viktigere enn andre for at virksomheten skal lykkes. Her betegnes dette som kritiske suksessfaktorer. Bevisste og godt formulerte kritiske suksessfaktorer tar hensyn til de muligheter virksomheten har til å forbedre sine prestasjoner. Etablering av styringsparametere som viser graden av oppfyllelse av de kritiske suksessfaktorene vil kunne bidra til at den samlede styringen blir mer effektiv. På bakgrunn av den sammenheng som etableres mellom mål, strategier, kritiske suksessfaktorer og tilhørende styringsparametere, vil det være mulig å identifisere og vurdere risikoer knyttet til måloppnåelsen. Til slutt illustrerer figur 1 at vurdering av om etablerte tiltak og kontrollaktiviteter er tilstrekkelige og effektive, knyttes sammen med de risikoer de er ment å redusere. På denne måten skal risikostyringen bidra til bedre prioriteringer i mål- og resultatstyringen, mer fokus på det som er viktigst og dermed høyere grad av måloppnåelse med mer effektiv ressursbruk. 2.1 Ansvar for risikostyringen I virksomhetenes interne styring skal virksomhetens ledelse sørge for at risikostyring og intern kontroll blir etablert, gjennomført, fulgt opp og dokumentert på en tilstrekkelig og effektiv måte. Det er virksomhetslederens ansvar å sørge for at overordnet organ er tilstrekkelig orientert om hovedtrekkene i virksomhetens risikostyring og interne kontroll. Den øverste administrative ledelsen i departementene har samme ansvar for departementenes interne styring som ledelsen i en underliggende virksomhet. I etatsstyringen skal departementet sikre seg at underliggende virksomheter gjennomfører, følger opp og dokumenterer risikostyringen i henhold til økonomiregelverkets krav. Metodedokumentet søker å gjøre ansvaret for god risikostyring enklere å forvalte ved å beskrive hvordan virksomhetens ledelse på en strukturert måte kan identifisere, vurdere, håndtere og følge opp risiko. Dokumentet gir også gode råd om hvordan en effektiv dokumentasjon kan bygges opp. 2.2 Metode for håndtering av risiko i mål- og resultatstyringen Figur 2: Risikostyring integrert i mål- og resultatstyringen Metoden kan illustreres som vist i figur 2 ovenfor. Figuren viser åtte steg i metoden for risikostyring integrert i mål- og resultatstyringen. De to første stegene er etablering av en strategi og en prosess som setter rammene for den mer gjentakende og løpende risikostyringen med analyse, tiltak og oppfølging (stegene 3 8 i figuren). Den framgangsmåten som skisseres, kan anvendes både på virksomhetsnivå og på lavere nivåer i organisasjonen også for operative prosesser og prosjekter. God risikostyring forutsetter et sunt styringsog kontrollmiljø og god informasjon og kommunikasjon. Dette danner grunnpilarene i en god risikostyring. 2.3 Viktige utfordringer En god forankring i toppledelsen er den viktigste suksessfaktoren for god risikostyring. Den viktigste utfordringen for ledelsen er å integrere risikovurderingene i de løpende strategi- og styringsprosessene. God risikostyring omfatter å se klare sammenhenger mellom mål, risiko og tiltak, samt å ta stilling til akseptabelt nivå på risiko. Klare mål God risikostyring forutsetter at det er satt gode mål. Uten klare mål er det ikke mulig å vurdere risikoen for ikke å nå disse målene. Det er viktig å identifisere alle målene virksomheten styrer mot, uavhengig av om de er fastsatt i målbare størrelser, verbalt formulert eller en kombinasjon av disse. Mange statlige virksomheter møter utfordringer når de skal sette gode mål. Det er ofte betydelige måleproblemer knyttet til verdiskapningen. Det er i mange tilfeller ikke mulig å måle verdiskapningen i statlige virksomheter i kroner, men mulig å måle mer kvalitative brukereffekter og velferds- og samfunnsgevinster. Statlige virksomheter setter ofte sine mål basert på aktivitetene som gjennomføres, fordi dette er lettere å måle enn effekter. Det kan være en god tilnærming dersom en har god kunnskap om sammenhengen mellom aktiviteter og effekter, men dette er ikke alltid tilfelle. Mange virksomheter har behov for å videreutvikle sine mål slik at de ligger tettere opp mot Stortingets egentlige mål og forutsetninger. Samtidig må målene fungere i en operasjonell sammenheng. Den strukturerte tilnærmingen til risiko som metoden representerer, kan bidra til å konkretisere målene og dermed gi grunnlag for å forbedre kvaliteten i mål- og resultatstyringen. Risikovurderinger integrert i strategi- og planprosessene kan bidra til at virksomheten blir enda bedre til å sette gode og klare mål. Dedikerte ressurser Den enkelte virksomhetsleder må være seg bevisst at det å implementere en strukturert risikostyring vil kreve dedikerte ressurser og en aktiv innsats for på best mulig måte å bygge risikostyringen inn i egen mål- og resultatstyring. Det må tas høyde for en viss investeringskostnad den får man tilbake senere. Kost/nytte vurderinger og budsjettbegrensninger En tredje viktig utfordring er å etablere gode tiltak og kontrollaktiviteter basert på nytte og kostnadsanalyser når en er i en situasjon der en er utenfor sin risikotoleranse. En kan da INTERNREVISOREN 1 06 11

komme i situasjoner der en finner tiltak med høy nytteverdi, men iverksettelse av dette forutsetter økte budsjettmidler. I en slik situasjon må en vurdere omdisponeringer på budsjettet, eller å gjennomføre mindre kostnadskrevende tiltak, men likevel slik at en vurderer å komme innenfor sin risikotoleranse som følge av tiltakets effekt. God kultur for håndtering av risiko En annen viktig utfordring er å etablere en kultur i staten for en strukturert tilnærming til håndtering av risiko. For mange ledere i statlige virksomheter er det for eksempel uvant å skulle ta aktivt stilling til et akseptert nivå på risiko. Metodedokumentet er i denne sammenhengen viktig fordi det etablerer et felles begrepsapparat samtidig som det gir en trygg ramme for hvordan risikostyringen kan gjennomføres. Flere og flere departementer stiller nå krav til sine virksomheter om gjennomføring av risikostyring basert på metodedokumentet, og flere og flere departementer tar nå aktivt inn risikovurderinger som et tema i styringsdialogen, dvs. at risikovurderingene fra virksomhetsleder blir gjennomgått og drøftet i kontaktmøtene med departementet. Dette vil kunne bidra til en mer fokusert drøfting av virksomhetenes utfordringer, og risikostyringen vil kunne bidra til et tydeligere beslutningsgrunnlag for hva som bør prioriteres på bekostning av noe annet. Oppfølging av risikoene Den siste utfordringen vi vil trekke fram er knyttet til å bygge inn en god oppfølging av risikoene i styringsprosessene. En god oppfølging oppnås gjennom løpende oppfølgingsaktiviteter, evalueringer eller en kombinasjon av de to. Risikostyringsprosessen kan bidra til at virksomheten ser behov for andre og mer hensiktsmessige styringsparametere enn de etablerte. I tillegg vil bruk av egenevalueringer fra ledere, eller mer objektive evalueringer fra for eksempel en intern revisjon, kunne forbedre risikostyringen. For noen vil dette innebære en vurdering av nye elementer i virksomhetsstyringen. 3 Noen erfaringer og refleksjoner omkring utarbeidelsen av metodedokumentet Metodedokumentet har en stor målgruppe. Alle statlige virksomheter inklusiv departementene er omfattet av kravene til risikostyring i det statlige økonomiregelverket. Dette medførte mange avveininger både i planleggingen av hvordan utarbeidelsen av dokumentet skulle skje, og i forhold til form og innhold på selve dokumentet. Vi valgte å organisere utarbeidelsen av metodedokumentet som et prosjekt med styringsgruppeleder og prosjektleder i SSØ. I organiseringen av prosjektet for øvrig la vi vekt på å få tilgang til en bred kompetansebase og samtidig skape en god forankring for metoden. Vi knyttet til oss flere eksterne rådgivere som fra forskjellige ståsted hadde kunnskap om og erfaring med risikostyring og intern kontroll, både fra privat og statlig sektor samt forskning og undervisning. Vi anså det som veldig viktig at brukerne var godt representert, og laget en referansegruppe med representanter fra fem statlige virksomheter som alle hadde igangsatt prosesser for risikostyring (Aetat, Forskningsrådet, Rikstrygdeverket, Skattedirektoratet og UIO). Referansegruppen hadde en viktig rolle som en del av prosjektet, og bidro mer aktivt enn det som er vanlig for en referansegruppe. Prosjektet prøvde ut metodikken på flere nivåer i SSØs organisasjon, og dette gav verdifulle erfaringer. I tillegg fikk vi noen toppledere i staten til å gjennomgå og gi sine kommentarer til et av de siste utkastene av dokumentet. Riksrevisjonen var observatør både i styringsgruppen og i referansegruppen. Vi har meget gode erfaringer med denne måten å organisere prosjektet på. Det er krevende å lede og administrere et prosjekt med så mange bidragsytere, men samtidig har alle synspunktene som har vært oppe til vurdering og diskusjon økt kunnskapen og forståelsen til alle involverte. Dette samspillet har bidratt til å gjøre metodedokumentet bedre og lettere å forstå. En del avveiinger ble foretatt med hensyn til form og innhold på dokumentet. For eksempel ble det tidlig besluttet at den primære målgruppen er ledere på ulike nivåer i virksomhetene og de personer som bistår lederne i å tilrettelegge styringsprosessene. For å få en travel leder til å prioritere å lese dokumentet, anså vi det som viktig at sideantallet på dokumentet ikke ble for stort. Teksten er derfor søkt komprimert så mye som mulig uten å gå på bekostning av innholdet. Samtidig er det fokusert på å ha en praktisk tilnærming, og i liten grad inkludere teoretiske drøftelser og utdypinger. Vi anså det som meget viktig å illustrere metoden med et praktisk eksempel. Gjennomgangseksempelet som er innarbeidet, viser konkret hvordan den metoden som beskrives kan anvendes i praksis. Eksempelet tar for seg målet om høy brukertilfredshet i en forvaltningsvirksomhet, og vil være gjenkjennelig for mange virksomheter. I tillegg vurderte vi om prosjektet skulle utarbeide en samling med maler til bruk i den enkelte virksomhets risikostyring. De eksisterende styringsprosessene som risikostyring og intern kontroll skal integreres i, vil imidlertid i stor grad være unike for den enkelte virksomhet avhengig av virksomhetens egenart (samfunnsrolle, størrelse, kompleksitet osv.). Metodedokumentet beskriver derfor ikke fullt ut hvordan risikostyring og intern kontroll rent praktisk kan integreres i den enkelte virksomhets styring og i etatstyringen. Fordi statlige virksomheters mål- og resultatstyring og hvordan denne dokumenteres er forskjellig, valgte vi i metodedokumentet å ikke gi en detaljert oppskrift, men heller å beskrive hvilke formål dokumentasjonen skal dekke til hjelp når virksomhetene skal vurdere opplegg for egen dokumentasjon. SSØ ønsker imidlertid å legge ut eksempler fra ulike statlige virksomheter på sine nettsider (www.sfso.no). 4 Foreløpige tilbakemeldinger fra brukerne Status for risikostyring i staten drøye to år etter at nytt økonomiregelverk trådte i kraft er i hovedsak følgende: Noen få virksomheter har kommet langt En del har påbegynt gode prosesser Flere departementer har engasjert seg sterkt, bl.a. ved å fokusere på risikostyring i tildelingsbrevene til underliggende virksomheter Lanseringen av metodedokumentet i mars i år trakk nesten 400 ledere og ressurspersoner, og SSØ opplever stor etterspørsel etter kurs i risikostyring. Det vil til høsten bli satt opp flere ekstrakurs, basert på at vårens kurs ble overbooket. Vi opplever gjennomgående positive tilbakemeldinger fra statlige virksomheter på metodedokumentet både til at det nå foreligger et dokument som veileder virksomheten i gjennomføringen av risikostyringen, og også på innholdet i dokumentet at det faktisk bidrar til å gjøre ansvaret for risikostyring enklere å forvalte. Det er også stor etterspørsel etter SSØs kompetanse som sparringspartner for å bistå virksomheten med å komme i gang. SSØ deltar i en rekke prosesser med statlige virksomheter ut fra en filosofi om å gi hjelp til selvhjelp. SSØs metodedokument og øvrige kompetansetilbud er ment å skulle gi et godt grunnlag for at virksomhetene skal kunne komme i gang på egen hånd. Vi ser imidlertid at enkelte, særlig større og komplekse virksomheter, har hatt behov for ekstern bistand i forbindelse med utforming og implementering av 12 INTERNREVISOREN 1 06

sin risikostyring. Utfordringen for virksomhetene blir da å sikre at dette bidrar til å styrke egen kompetanse på området, slik at ikke kompetansen forsvinner når konsulentene er ferdige. 5 SSØs rolle etter metodedokumentet SSØ er nå i ferd med å bygge opp faste ressurser som skal sikre videre trykk i arbeidet med å få statlige virksomheter til å implementere risikostyring som et ledd i sin mål- og resultatstyring. På kort sikt er det viktig å lykkes med en bred formidling av metodedokumentet i staten ikke bare gjøre det kjent, men i denne sammenhengen også få virksomhetene i gang. SSØ prioriterer kursvirksomhet for statlige virksomheter og deltakelse i ulike nettverk som sparringspartnere for virksomheter som skal i gang. SSØ deltar også med foredrag omkring temaet i en rekke ulike sammenhenger. SSØ ønsker å ta en mer aktiv rolle i å etablere nettverk mellom statlige virksomheter og også trekke virksomhetene med i videreutviklingen av risikostyring i staten. SSØs nettsider vil også være et viktig virkemiddel for formidling av informasjon og kompetanse på god risikostyring i staten. SSØ ønsker etter hvert å få fram gode case og eksempler fra virkeligheten som kan tjene som illustrasjoner på beste praksis. Dette vil kunne være til ytterligere hjelp for den enkelte virksomhet til å utvikle eget opplegg og egne maler som passer inn i deres egen mål- og resultatstyring. Dette er sterkt etterspurt fra mange. For øvrig ønsker SSØ at nettsiden skal kunne være en oppdatert informasjonsbase på risikostyringsområdet og på hva som rører seg av utfordringer og problemstillinger for statlige virksomheter når det gjelder dette. SSØ vil etter beste evne, og i samarbeid med statlige virksomheter, søke å få fram de gode svarene. 6 Intern revisjon i staten Det er ikke noe krav i økonomiregelverket om at statlige virksomheter skal ha intern revisjon. Metodedokumentet omtaler kort hva funksjonen kan bidra med: Internrevisjonens primære oppgave er ved sine revisjonshandlinger å bistå virksomhetens ledelse i deres oppfølging av om det er etablert en robust risikostyring og intern kontroll i virksomheten, og at den er tilstrekkelig og effektiv En internrevisjon er et nyttig verktøy for virksomhetens ledelse som en ekstra sikring av at risikostyringen er tilstrekkelig og integrert i virksomhetens mål- og resultatstyring En godt kvalifisert intern revisjon kan også bidra med nyttige innspill til ledere på alle nivåer om mulige forbedringer i den løpende risikostyring og interne kontroll Status per i dag i statlige virksomheter er at: Ingen departementer har en internrevisjonsfunksjon, men noen departementer har funksjoner som ligner på intern revisjon En rekke større statlige virksomheter har etablert en internrevisjon Helse og omsorgsdepartementet har stilt krav om intern revisjon i helseforetakene (helseforetakene er organisert som egne rettssubjekter utenfor forvaltningen) Dette innebærer at den enkelte virksomhet i staten selv må vurdere behovet for en intern revisjonsfunksjon. Metodedokumentet framhever den nytten virksomhetene kan ha av en objektiv og godt kvalifisert internrevisjon. 7 Avslutning Endringsprosessene som nå foregår innenfor økonomistyring i staten retter seg mot å sikre en mer effektiv ressursbruk. Dette skal i seg selv gi mer velferdsproduksjon for pengene. Men det skal også sikre staten økt legitimitet i forhold til befolkningen gjennom større trygghet for at forvaltningen av skattebetalernes penger foregår på en god måte også de gangene det går galt. Det vil alltid være risiko knyttet til oppnåelsen av statlige virksomheters målsettinger. Risikotaking er nødvendig for at staten skal bidra til framdrift og utvikling i samfunnet. Men det er viktig at statlige virksomheter har et bevisst forhold til sine risikoer og hvilket nivå på risiko som er akseptabelt å leve med. Vi tror staten med metodedokumentets hjelp er på god vei til å få en mer strukturert risikostyring, og på denne måten oppnå mer for samfunnet og øke tillitten til at staten driver sin virksomhet godt. Kort presentasjon av SSØ og artikkelforfatterne Senter for statlig økonomistyring (SSØ) er et forvaltningsorgan underlagt Finansdepartementet (etablert 2004). SSØs visjon er effektiv ressursbruk i staten og vår rolle er å tilrettelegge for god økonomistyring og levere økonomitjenester til statlige virksomheter. SSØ har 280 ansatte fordelt på en sentralenhet i Oslo og seks regionkontorer (Drammen, Hamar, Kristiansand, Stavanger, Trondheim og Tromsø samt et kontor i Vadsø underlagt Tromsø). SSØ har tre roller; Forvaltning av det statlige økonomiregelverket med tilhørende kompetansetiltak, veiledning og rådgivning til statlige virksomheter Forvaltning av statens konsernsystemer innenfor statlig betalingsformidling og statsregnskapet Leverandør av (frivillige) økonomitjenester til statlige virksomheter. SSØ har 70 % av statlige virksomheter som kunder innenfor budsjett/regnskap og Personal/lønn. Økonomitjenestene leveres fra regionkontorene. Marianne Andreassen er direktør i SSØ. Hun var leder av styringsgruppen for prosjektet som utarbeidet metodedokumentet Risikostyring i staten. Hun er utdannet samfunnsøkonom fra Universitetet i Oslo (1985). Hun har bred erfaring fra offentlig virksomhet, både fra embetsverk og som politiker (statssekretær). Hun har også erfaring fra privat virksomhet, både som fagøkonom og leder. Bente Nyrud Gobel er nylig ansatt som seniorrådgiver i Skattedirektorates Internrevisjon. Hun arbeidet tidligere i SSØ hvor hun hadde prosjektlederansvaret for utarbeidelsen av metodedokumentet Risikostyring i staten. Bente er siviløkonom fra NHH (1986) og statsautorisert revisor. Hun har bred erfaring fra arbeid med operasjonell revisjon (Gjensidige / Gjensidige NOR samt Arthur Andersen & Co.) og finansiell revisjon (Arthur Andersen & Co.). Hun satt i redaksjonskomitéen for Internrevisoren i perioden 1997-2000, og sitter i dag i arbeidsutvalget for NIRFs nettverk for statlig sektor. INTERNREVISOREN 1 06 13