Internrevisjonsrapport

Internrevisjonen Internrevisjonsrapport Risikostyring og internkontroll Oppsummering Stjørdal, 2. oktober 2015

1. Innledning INNHOLD 1. Innledning... 2 1.1 Bakgrunn 1.2 Om risikostyring og internkontroll 1.3 Revisjonskriterier 1.4 Omfang og metode 2. Sammendrag og modenhetsevaluering......6 3. Sentrale funn og vurderinger... 9 3.1 Risikostyring og internkontroll RHFet sin rolle 3.2 Kunnskap om risikostyring og internkontroll 3.3 Organisatoriske forhold 3.4 Identifisere og håndtere risiko 3.5 Oppfølging og forbedring 4. Læring på tvers 15 5. Anbefalinger..16 6. Rapportinformasjon.19 1.1 Bakgrunn Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF (HMN) bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i helseforetakene og det regionale helseforetaket. I tråd med vedtatt aktivitetsplan har internrevisjonen gjennomført en revisjon med temaet «Risikostyring og internkontroll i foretaksgruppen». Krav om risikostyring og internkontroll er nedfelt i flere lover, bl.a. arbeidsmiljøloven, helsetilsynsloven, spesialisthelsetjenesteloven og helseregisterloven. Mer detaljerte regler på området er nedfelt i tilhørende forskrifter. I denne revisjonen er det tatt utgangspunkt i forskrift om internkontroll i helse- og omsorgstjenesten. Helse- og omsorgsdepartementet (HOD) har fra 2008 og fram til 2014 i sine foretaksmøter med HMN stilt krav om at «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik». Det regionale foretaket har videreført dette kravet i sine foretaksmøter med helseforetakene. Hensynet bak kravet om risikostyring og internkontroll er at foretaksledelsen skal ha et godt verktøy for å sikre størst mulig grad av styring og kontroll med virksomheten. God risikostyring og internkontroll bidrar til måloppnåelse både når det gjelder god pasientbehandling, effektiv drift, riktig rapportering og overholdelse av regelverket. Formålet med revisjonen er å bidra til at helseforetakene har godt system for, og god kunnskap om, internkontroll og risikostyring for å sikre styring og kontroll i virksomheten. Vedlegg Delrapporter Helse Nord-Trøndelag HF, Helse Møre og Romsdal HF og St. Olavs Hospital HF Rapporten er oversendt til: Styret i HMN Styrets revisjonsutvalg HMN 2

1.2 Om risikostyring og internkontroll Risikostyring og internkontroll handler i sin enkleste form om å sikre god styring og kontroll, herunder bedre ressursutnyttelse ved at ledelsen bruker tid og ressurser på de viktigste forholdene. Helseforetakene er gjennom lov og forskrift pålagt å etablere systemer for risikostyring og internkontroll Illustrasjon - Sentrale forhold som må være på plass for å sikre god risikostyring og internkontroll Styret har det overordnede ansvaret for å påse at foretaket har betryggende styring og kontroll, herunder at det er etablert forsvarlig risikostyring og internkontroll. Administrerende direktør har det operative ansvaret for å iverksette og operasjonalisere retningslinjer gitt fra styret, samt holde styret løpende orientert om status og utvikling Internkontroll er systematiske tiltak som skal sikre at lover og retningslinjer overholdes, samt gi rimelig sikkerhet for at fastsatte mål oppnås Effektiv internkontroll legger til rette for at oppgaver gjøres riktig første gang. Internkontroll kan på den måten bidra til å forebygge feil og negative hendelser. Samtidig vil internkontroll også bidra til kvalitet, effektivitet og forutsigbarhet. Virksomheter som arbeider systematisk med forbedring i internkontrollen, opplever at internkontrollarbeidet gir viktige bidrag til virksomhetens arbeid med kontinuerlig forbedring Selv med effektiv internkontroll kan det oppstå uheldige situasjoner og feil som følge av menneskelig eller teknisk svikt eller misforståelser, eller som følge av at ansatte bevisst omgår etablerte kontroller. Det å ha et formalisert og velfungerende internkontrollsystem reduserer imidlertid sannsynligheten både for at ubevisste og bevisste feil inntreffer Helhetlig risikostyring er et verktøy for styring som gir grunnlag for å identifisere, vurdere og håndtere potensiell risiko ved hjelp av en strukturert tilnærming. Risikostyring skal bidra til å skape en bedre balanse mellom mål, risiko, styring og kontrolltiltak, og dermed en bedre ressursutnyttelse Risikostyring kan med andre ord ses på som et hjelpemiddel i arbeidet med å løse de styringsmessige utfordringer ledelsen står ovenfor. Den skal bidra til mer målrettet styring, og derfor også enklere styring, ved at ledelsen bruker tid på de viktigste forholdene Som illustrert i figuren til venstre er det en del sentrale forhold som alle må være på plass for å sikre god risikostyring og internkontroll. Dette knytter seg til felles forståelse av målbilde, identifisert risikobilde, forankring, en integrert og strukturert prosess, samt løpende oppfølging og håndtering av risiko 3

1.3 Revisjonskriterier Ved gjennomføring av revisjonen er det primært tatt utgangspunkt i forskrift om internkontroll i helse- og omsorgstjenesten, foretaksprotokoller og god praksis Lovgrunnlag Det er en rekke lover og forskrifter som regulerer området risikostyring og internkontroll. I denne revisjonen har vi funnet det hensiktsmessig å gjøre en avgrensing slik at revisjonskriteriene knyttes opp mot kravene i Forskrift om internkontroll i helse- og omsorgstjenesten (IK-helse). Denne forskriften er hjemlet i Helsetilsynsloven og Spesialisthelsetjenesteloven. Forskriften 4 skisserer innholdet i internkontrollen. Her er det beskrevet åtte punkter som virksomhetsledelsen har ansvar for å sikre («de 8 ledelsesprinsippene»). Styringsdokumenter I foretaksprotokollen 2008 fra Helse- og omsorgsdepartementet (HOD) til HMN er det nedfelt at: «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik. Risikofaktorer som kan medvirke til at målene til det regionale helseforetaket og helseforetaksgruppen ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse skal iverksettes. Styringssystemene skal tilpasses risiko og vesentlighet i forhold til virksomhetens målsetninger og ha nødvendig ledelsesmessig forankring i hele organisasjonen». Tilsvarende krav er gjentatt i alle foretaksprotokoller fram til og med 2014. Det regionale helseforetaket har på sin side videreført kravet til sine underliggende helseforetak. I styringsdokumentet for 2015 har HMN konkretisert en målsetting om at foretaksgruppen i perioden 2015-2017 skal videreutvikle et felles og helhetlig system for risikostyring og internkontroll i regionen. 4

1.4 Omfang og metode Områder som omfattes av revisjonen er illustrert i figuren nedenfor. Funn og vurderinger er basert på spørreundersøkelse, intervjuer med utvalgte ledere og dokumentgjennomgang. Vurderingen dekker overordnede forhold (rammeverk), og er gjennomført på ledelsesnivå i de tre sykehusforetakene Revisjonen har omfattet ledelsesnivåene i de tre sykehusforetakene i regionen (Helse Nord-Trøndelag HF (HNT), Helse Møre og Romsdal HF (HMR) og St.Olavs Hospital HF (St.Olavs)) Som illustrert i figuren til venstre dekker revisjonen 4 hovedtema: Kunnskap om risikostyring og internkontroll på ledelsesnivå, organisatoriske forhold, identifisering og håndtering av risiko, samt oppfølging og forbedringsarbeid Hovedtemaene er delt opp i flere undertema som har dannet grunnlag for spørreundersøkelse, intervju og innhenting av relevant dokumentasjon. Funnene i rapporten er basert på: Spørreundersøkelse som er sendt ut til ledere på ulike ledelsesnivå i de tre sykehusforetakene, samt utvalgte personer i Stab. Det er mottatt totalt 541 svar, noe som utgjør en svarprosent på ca. 70 %. Svarprosenten er relativt lik for alle foretakene Intervjuer og samtaler med totalt 46 ledere i foretakene, herunder 3 adm.dir, 2 fagdirektører, 3 kvalitetssjefer, 20 klinikksjefer, 11 avdelingsledere og 7 seksjonsledere Samtaler med enkelte sentrale personer på RHF nivå Gjennomgang av relevante dokumenter innenfor de ulike områdene Revisjonen har fokusert på overordnede forhold (rammeverk) knyttet til risikostyring og internkontroll, og det er ikke foretatt detaljert gjennomgang og vurdering av «godhet» og etterlevelse av enkeltelementene Sentrale funn er presentert og forankret i oppsummeringsmøter med foretaksledelsen i de ulike foretakene, og utkast til rapport er sendt til faktaverifikasjon hos det enkelte foretak før endelig distribusjon Denne rapporten gir en overordnet oppsummering av funn, vurderinger og anbefalinger på tvers av foretakene i regionen 5

2. Sammendrag og modenhetsevaluering 6

2.1 Sammendrag RHF-styret bør vedta overordnede retningslinjer knyttet til risikostyring og internkontroll gjeldende for hele foretaksgruppen. Flere gode elementer er etablert i de enkelte foretakene, men det er behov for å videreutvikle et felles og helhetlig system for risikostyring og internkontroll. Dette arbeidet er påbegynt i henhold til styringsdokument 2015 Overordnet rammeverk - Risikostyring og internkontroll er i liten grad diskutert og forankret i RHF styret. Styret har ikke vedtatt overordnede retningslinjer som definerer roller, ansvar og gir overordnede føringer knyttet til risikostyring og internkontroll i helseforetaket. Dette etterlyses av foretakene. I styringsdokumentet for 2015 er det stilt krav til foretakene om å bidra inn i et felles regionalt prosjekt på dette området Kunnskap - Ledere i helseforetakene har noe varierende kjennskap til, og kompetanse om risikostyring og internkontroll. De fleste lederne opplever imidlertid at de har god forståelse for risikoer innenfor sitt ansvarsområde. Opplæring i risikostyring og internkontroll er i liten grad satt i system, og flere ledere vurderer sin kunnskap om temaet som mangelfull. Dette knytter seg spesielt til risikostyring Organisatoriske forhold - Mål, strategier og styringskrav er i stor grad kjent blant lederne. Sammenheng mellom ulike mål og krav som foretakene er underlagt, og operasjonalisering av disse kan forbedres. Organisering, roller og ansvar vurderes som hensiktsmessig og tydelig. Kompetanseplaner utarbeides, men det er manglende systemstøtte for registrering og oppfølging av kompetanseutvikling Etikk og konsekvenskultur - De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. I HMR påpekte flere av lederne at det med fordel kunne vært en tydeligere konsekvenskultur i foretaket Identifisere og håndtere risiko - Det er behov for å øke forståelsen for og hensikten med risikostyring. Dette inkluderer identifikasjon og vurdering av risiko på ulike nivå i foretakene. HMR utmerker seg positivt ved at det nylig er utarbeidet en overordnet risikovurdering som er behandlet i foretaksledelsen og styret Oppfølging og forbedring Det er etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers internt i foretakene. Dette gjelder spesielt ved St.Olavs og HMR. Foretakene har etablert egne arenaer for systematisk forbedringsarbeid gjennom kvalitetsråd/-grupper og kvalitets- og pasientsikkerhetsutvalg Kultur for registrering av hendelser kan fortsatt forbedres, og pasienterfaringer kan i større grad brukes mer aktivt inn i forbedringsarbeidet i alle foretakene 7 7

2.2 Modenhetsevaluering Figuren nedenfor illustrerer internrevisjonens skjønnsmessige vurdering av risikostyring og internkontroll i HMN sammenlignet med god praksis. Vurdering for de ulike områdene er nærmere beskrevet på de neste sidene Vurderingsområder 1. Mangelfull 2. Uformalisert 3. Formalisert 4. Tilfredsstillende 5. God (ledende) praksis Overordnet rammeverk Ikke etablert formaliserte rutiner og retningslinjer for risikostyring og internkontroll på foretaksnivå 1 2 3 4 5 Det er definert overordnede krav/forventinger til risikostyring og interkontroll som er diskutert og forankret i styret. (policydokument) Det er etablert et helhetlig rammeverk gjeldende for hele foretaket som har god systemstøtte, samt hensiktsmessige maler, prosedyrer og retningslinjer som tilrettelegger for effektiv og hensiktsmessig utførelse Rammeverket er lett tilgjengelig for ansatte Kunnskap om risikostyring og internkontroll Ansatte har mangelfull kunnskap om risikostyring og internkontroll. Ansatte gis ikke opplæring og veiledning, og er ikke kjent med virksomhetens rammeverk Ansatte har god teoretisk og praktisk kunnskap om risikostyring og internkontroll, samt god kjennskap til virksomhetens rammeverk. Opplæring er satt i system, og blir prioritert på alle nivå i virksomheten Organisatoriske forhold Manglende strategisk planlegging, og uklare mål og styringsparameter. Roller, ansvar og myndighet er uklare og ikke formalisert. Kompetanseutvikling er tilfeldig og reaktiv. Verdigrunnlag og etiske retningslinjer mangler Tydelige og konkrete mål og strategier som er godt forankret og operasjonalisert Roller og ansvar er formalisert og uten overlapp. Oppgaver, ansvar og myndighet er fordelt. Ansatte har tilstrekkelig kunnskap og ferdigheter til å utføre sine oppgaver, og det arbeides systematisk med kompetanseutvikling. Verdigrunnlag og etiske retningslinjer er etablert og gjenspeiles i etterlevelse. Konsekvenskultur etablert på tvers av foretaket Identifisere og håndtere risiko Det foreligger ingen formaliserte systemer, prosesser eller retningslinjer for risikovurdering. Risikovurderinger gjennomføres i liten grad og ikke på en standardisert måte. Det mangler oppdaterte rutiner og retningslinjer på sentrale områder. Kontrollaktiviteter gjennomføres i liten grad Utvikling i risikoeksponering overvåkes, rapporteres og aggregeres løpende (kvantitativt og kvalitativt). Risikovurdering gjennomføres minimum årlig både på overordnet nivå og innenfor sentrale områder/prosesser. Risikovurdering tar utgangspunkt i fastsatte mål og strategier, og gjennomføres på en ensartet måte på tvers av foretaket. Risikovurdering benyttes aktivt ved vesentlige endringer. Det er etablert dekkende, hensiktsmessige og kostnadseffektive kontrolltiltak for å håndtere identifiserte risikoer. Oppfølging og forbedring Uønskede hendelser og pasienterfaringer brukes i liten grad inn i forbedringsarbeidet. Det er mangelfull styringsinformasjon, og det foretas ikke løpende oppfølging og evaluering av etablert internkontroll Uønskede hendelser og erfaringer fra pasienter, tjenestemottakere og pårørende registreres, analyseres og brukes aktivt inn i forbedringsarbeidet på tvers av foretaket. Ansatte på alle nivå har tilgang på tilstrekkelig, pålitelig, tidsriktig og relevant styringsinformasjon. Det foretas systematisk overvåking, oppfølging og gjennomgang av etablert rammeverk for risikostyring og internkontroll. Dette for å påse at det fungerer som forutsatt og er hensiktsmessig og tilpasset foretaket Vurdering av dagens nivå (modenhetsskala på 5 nivå illustrert med hvite 8 prikker i figuren) Forventet nivå (internrevisjonens skjønnsmessige vurdering) 8

3. Sentrale funn og vurderinger 9

3.1 Risikostyring og internkontroll RHFet sin rolle Risikostyring og internkontroll er i liten grad diskutert og forankret i styret. Styret har ikke vedtatt overordnede retningslinjer som definerer roller, ansvar og gir overordnede føringer knyttet til risikostyring og internkontroll i foretaksgruppen. Dette etterlyses av foretakene. I styringsdokumentet for 2015 er det stilt krav til foretakene om å bidra inn i et felles regionalt prosjekt for videreutvikling av system for risikostyring Styringskrav og rammer for 2015 Pkt 8.10 Internkontroll og risikostyring (utdrag) Helse Midt-Norge RHF (HMN) har som målsetting at foretaksgruppen i perioden 2015-2017 videreutvikler etablerte system for risikostyringen slik at det etableres en felles modell for helhetlig virksomhetsstyring i regionen. HMN vil lære av tilsvarende arbeid som pågår i de tre øvrige helseregionene Det vil bli etablert et regionalt prosjekt for videre utvikling av våre system for risikostyring for perioden 2015 2017. Prosjektets mandat vil ta utgangspunkt i internrevisjonens rapport etter gjennomført kartlegging i sykehusforetakene. Innen utgangen av 2015 skal prosjektet utarbeide en plan for utvikling og implementering De ulike foretakene er bedt om å bidra i arbeidet med å videreutvikle system for risikostyring slik at det utvikles og implementeres en felles modell for helhetlig virksomhetsstyring i regionen Krav om risikostyring og internkontroll er nedfelt i regelverk og styringskrav. Styret har det overordnede ansvaret, mens adm. direktør har det operative ansvaret RHF-nivå - Styret har ikke behandlet/vedtatt overordnede retningslinjer som definerer roller, ansvar og gir overordnede føringer knyttet til risikostyring og internkontroll for det regionale helseforetaket Riksrevisjonen påpekte i 2012 at HMN var det eneste RHFet som ikke hadde etablert skriftlig policy/styrende dokument for risikostyring og internkontroll Det har både i 2008 og 2012 vært igangsatt initiativ på RHF-nivå (inkl involvering av styret) for å etablere et rammeverk i tråd med krav i lov, forskrift og styringskrav fra eier. Arbeidet har av ulike grunner stoppet opp. I styringsdokumentet for 2015 har HMN RHF konkretisert en målsetting om at foretaksgruppen i perioden 2015-2017 skal videreutvikle et felles og helhetlig system for risikostyring og internkontroll i regionen Sykehusforetakene De ulike sykehusforetakene har ikke etablert egne overordnede retningslinjer knyttet til risikostyring og internkontroll, og risikostyring og internkontroll er i liten grad diskutert og forankret i styret. Foretakene etterlyser tydeligere føringer fra RHFet på dette området 10

3.2 Kunnskap om risikostyring og internkontroll Ledere i helseforetakene har noe varierende kjennskap til, og kompetanse om risikostyring og internkontroll. De fleste lederne opplever selv at de har god forståelse for risikoer innenfor sitt ansvarsområde. Opplæring i risikostyring og internkontroll er i liten grad satt i system, og flere ledere vurderer sin kunnskap om temaet som mangelfull. Dette knytter seg spesielt til risikostyring Figuren viser utvalgte resultater fra spørreundersøkelsen som ble sendt til alle lederne i Helse Nord-Trøndelag, Helse Møre og Romsdal og St.Olavs Hospital som en del av prosjektet. 11

3.3 Organisatoriske forhold Mål, strategier og styringskrav er i stor grad kjent blant lederne. Sammenheng mellom ulike mål og krav som foretakene er underlagt, og operasjonalisering av disse kan forbedres. Organisering, roller og ansvar vurderes som hensiktsmessig og tydelig. Kompetanseplaner utarbeides, men det er manglende systemstøtte for registrering og oppfølging av kompetanseutvikling Etikk og konsekvenskultur Mål og strategier Kompetanse Organisering, roller og ansvar Ledende HMR HNT St.Olavs Figuren ovenfor viser internrevisjonens skjønnsmessige vurdering av status i sykehusforetakene innenfor utvalgte tema. Vurderingen er kun ment som en illustrasjon for å vise likheter og ulikheter, samt den relative forskjellen mellom foretakene, når det gjelder styring og kontroll på ulike områder. For ytterligere kommentarer vises det til revisjonsrapporter utarbeidet for det enkelte foretak Mål og strategi Mål, strategier og styringskrav er kjent blant lederne. 80 % av lederne svarer i spørreundersøkelsen at de er helt eller delvis enig i at foretakets mål og strategier er tydelig. Dette gjelder spesielt kvantitative måltall som ventetid, fristbrudd og økonomi. HMR scorer noe svakere enn de andre foretakene da de på revisjonstidspunktet manglet et overordnet strategidokument. I HNT etterlyste flere av lederne mer fokus på strategiske mål og prioriteringer på foretaksnivå knyttet til kvalitet Det foretas periodisk vurdering av styringskrav mottatt fra RHFet (styringsdokument og foretaksprotokoll). Dette er satt inn i en matrise med fargekoder som viser hvor langt man har kommet i arbeidet med å nå målene og hvilke områder som må gis særskilt oppmerksomhet. Flere ledere kommenterer at det er utfordrende å se sammenheng mellom ulike styringskrav fra eier og foretakenes overordnede strategiske mål og prioritering. Dette bidrar til enkelte utfordringer ved operasjonalisering og oppfølging Organisering Organisering, roller og ansvar vurderes i stor grad som hensiktsmessig og tydelig i alle foretakene Kompetanse: Foretakene har system for kompetansekartlegging og utarbeidelse av kompetanseplaner. Det er noe varierende etterlevelse, men en stor andel klinikker har utarbeidet konkrete planer. Det er manglende systemstøtte for løpende registrering og oversikt over status knyttet til kompetanseutvikling Etikk - De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. I HMR påpekte flere av lederne at det kunne vært en tydeligere konsekvenskultur i foretaket 12

3.4 Identifisere og håndtere risiko Det er behov for å øke forståelsen for og hensikten med risikostyring. Dette inkluderer identifikasjon og vurdering av risiko på ulike nivå i foretakene. HMR utmerker seg positivt ved at det nylig er utarbeidet en overordnet risikovurdering som er behandlet i foretaksledelsen og styret Rutiner og retningslinjer Risikovurdering drift/prosesser Rammeverk Overordnet risikovurdering Risikovurdering ved omstilling Ledende HMR HNT St.Olavs Figuren ovenfor viser internrevisjonens skjønnsmessige vurdering av status i sykehusforetakene innenfor utvalgte tema. Vurderingen er kun ment som en illustrasjon for å vise likheter og ulikheter, samt den relative forskjellen mellom foretakene, når det gjelder styring og kontroll på ulike områder. For ytterligere kommentarer vises det til revisjonsrapporter utarbeidet for det enkelte foretak Rammeverk Foretakene har etablert enkelte prosedyrer og maler for gjennomføring av risikovurdering. Prosedyrene kan forbedres og tydeliggjøres, og det er variasjon mellom foretakene mht struktur, krav og definisjoner. St. Olavs har igangsatt et arbeid med å få på plass et mer helhetlig rammeverk for risikostyring. Arbeidet er imidlertid satt på vent i påvente av et regionalt prosjekt Overordnet risikovurdering HMR har nylig gjennomført en overordnet risikovurdering, dvs en risikovurdering som viser hva som er de mest sentrale risikoene/utfordringene for foretaket som helhet. Denne er styrebehandlet i løpet av juni 2015. Tilsvarende arbeid er ikke gjennomført i HNT og St. Olavs Risikovurdering ved omstilling ROS-analyser brukes som et hjelpemiddel ved omstilling for å få belyst risikobildet. Ledernes erfaringer ved bruk av ROS-analyser vurderes som variabel. Enkelte opplever ROS-analyse som nyttig for å få belyst risikobildet, andre synes dette blir en «papirøvelse» og et verktøy for «omkamp». Ingen av foretakene har etablert et system for oppfølging av gjennomførte analyser, og det er lite fokus på deling av informasjon/læring på tvers Risikovurdering drift/prosesser Ingen av foretakene gjennomfører og dokumenterer systematiske risikovurderinger på operativt nivå Rutiner og retningslinjer - Rutiner og retningslinjer er tilgjengelig for ansatte via EQS. Flere ledere er kritiske til brukervennligheten i EQS. Dette knytter seg til tilgjengelighet, ajourhold og omfang av prosedyrer. En stor andel av lederne i alle foretak opplever det som utfordrende å navigere og finne relevant informasjon i virksomhetsportalen. Tilgang til relevante lover og regler er tilrettelagt i EQS 13

3.5 Oppfølging og forbedring Foretakene har etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers i foretakene. Dette gjelder spesielt ved St.Olavs og HMR. Kultur for registrering av hendelser kan fortsatt forbedres, og pasienterfaringer kan i større grad brukes mer aktivt inn i forbedringsarbeidet Ledelsens gjennomgang Styringsinformasjon Uønskede hendelser Revisjoner/ Egenkontroll Innhente/bruke pasienterfaringer Arenaer for kvalitetsforbedring Ledende HMR HNT St.Olavs Figuren ovenfor viser internrevisjonens skjønnsmessige vurdering av status i sykehusforetakene innenfor utvalgte tema. Vurderingen er kun ment som en illustrasjon for å vise likheter og ulikheter, samt den relative forskjellen mellom foretakene, når det gjelder styring og kontroll på ulike områder. For ytterligere kommentarer vises det til revisjonsrapporter utarbeidet for det enkelte foretak Uønskede hendelser Rutiner og retningslinjer for uønskede hendelser er etablert. Rapportering av uønskede hendelser er økende, men det er fortsatt underrapportering og behov for å styrke meldekulturen Pasienterfaringer Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet. Arena for kvalitetsforbedring HMR og St.Olavs har etablert egne arenaer for systematisk forbedringsarbeid på ulike nivå i foretaket gjennom kvalitetsråd/-grupper og kvalitets- og pasientsikkerhetsutvalg. Andre eksempler er utarbeidelse av læringshistorier (HMR) og gjennomføring av pasientsikkerhetsvisitter (St.Olavs). I St.Olavs er det nylig etablert en strategisk satsning for å bygge kapasitet og kompetanse i forbedringsarbeid i foretaket Revisjon/egenkontroller Foretakene har ulik tilnærming til gjennomføring av revisjoner og egenkontroller som en del av forbedringsarbeidet. HMR er det foretaket som har satt dette mest i system gjennom å ha etablert en hensiktsmessig ordning med gjennomføring av revisjoner i de ulike klinikkene Styringsinformasjon Det er varierende oppfatning av tilgang og kvalitet på styringsinformasjon. Styringsinformasjon knyttet til økonomi og sentrale styringskrav oppleves som tilstrekkelig, men flere etterlyser mer sanntidsinformasjon. HNT har iverksatt en rekke forbedringstiltak Ledelsens gjennomgang Ved St.Olavs og HMR gjennomføres ledelsens gjennomgang på ulike nivå i foretaket 14

4. Læring på tvers Internrevisjonen ønsker å bidra til forbedring og læring på tvers av foretakene i regionen. Nedenfor har vi valgt å trekke frem tre temaer pr foretak. Dette er temaer som de ulike foretakene gjennomfører på en god måte og som andre kan dra lærdom av Overordnet risikovurdering Internrevisjoner (systematisert) Elektronisk og lett tilgjengelig oversikt over gjennomførte revisjoner, tilsyn mm Administrerende direktørs pasientsikkerhetsvisitt Fokus på forbedringsarbeid Struktur for ledelsens gjennomgang (innhold, struktur, opp til styret) Modell for mål- og resultatstyring Analyser og styringsinformasjon Prosesser knyttet til sertifisering har bidratt til bedre styring og kontroll internt i sertifiserte enheter (sertifisering i seg selv er ikke målet) 15

5. Anbefalinger 16

5. Anbefalinger (1:2) Tabellen nedenfor beskriver sentrale funn i gjennomgangen, samt internrevisjonens overordnede forslag til tiltak/forbedringer Tema Funn Anbefaling ved etablering av prosjekt i tråd med styringsdokument Etablering av rammeverk for risikostyring og internkontroll (Ref. styringsdokument 2015) Internrevisjonens gjennomgang konkluderer med at det er behov for å videreutvikle et felles og helhetlig system for risikostyring og internkontroll i foretaksgruppen, samt styrke ledernes kunnskap om risikostyring. I HMN sitt styringsdokumentet for 2015 til HFene er risikostyring og internkontroll satt på agendaen. Det er påbegynt et arbeid for å lage en plan for utvikling og implementering. I det videre arbeidet anbefales det at følgende momenter vurderes: Ledelsesforankring - For å sikre aksept, gjennomslag og prioritet er det viktig at prosjektet og tiltak som besluttes iverksatt er tilstrekkelig forankret i ledelsen. Ledelsen bør løpende informeres om fremdrift Realistisk ambisjonsnivå - Utvikling av risikostyring vil være en prosess som pågår over lengre tid og påvirker store deler av virksomheten. Det er derfor viktig å erkjenne at dette er en endringsprosess som krever tid og ressurser. Det bør legges opp til gradvis implementering eksempelvis ved bruk av piloter. En god pilot vil bidra til å lette det videre arbeidet Rammeverk - Det bør etableres et rammeverk med tilhørende verktøy som dekker alle sentrale områder, men som samtidig er enkelt/oversiktlig og brukervennlig Ressurspersoner Det er viktig at personer som involveres i prosjektet har engasjement for temaet og har tilstrekkelig kunnskap om risikostyring og internkontroll. Involvering av ressurspersoner i de ulike foretakene vil bidrar til forankring og lette implementeringsarbeidet Opplæring/felles forståelse For å sikre felles forståelse for risikostyring og internkontroll i prosjektgruppen bør det vurderes behov for opplæringstiltak, samt etablering av felles definisjoner/begrepsapparat. Som en del av prosjektet bør det også gis opplæring og veiledning underveis til ansatte som involveres, og det bør etableres et generelt opplæringsprogram knyttet til risikostyring og internkontroll i foretaksgruppen 17

5. Anbefalinger (2:2) Tabellen nedenfor beskriver sentrale funn i gjennomgangen, samt internrevisjonens overordnede forslag til tiltak/forbedringer Tema Funn Anbefaling i forhold til styrets involvering Rammeverk for risikostyring og internkontroll (styrets involvering) Risikostyring og internkontroll er i liten grad diskutert og forankret i styret. Styret har ikke vedtatt overordnede retningslinjer som definerer roller, ansvar og gir overordnede føringer knyttet til risikostyring og internkontroll i foretaksgruppen. Styret blir ikke årlig forelagt en overordnet risikovurdering for foretaket eller en overordnet evaluering av status knyttet til risikostyring og internkontroll (eksempelvis resultat fra ledelsens gjennomgang). Overordnede retningslinjer - Det bør utarbeides overordnede retningslinjer for risikostyring og internkontroll på RHF-nivå som diskuteres og forankres i styret. Retningslinjene bør gi tydelige krav og føringer, og være tilpasset foretakets art, størrelse og kompleksitet Identifikasjon og vurdering av risiko Styret bør minimum årlig etterspørre en overordnet risikovurdering som viser hva som er de (for eksempel 10-15) mest sentrale risikoene som kan hindre måloppnåelse i foretaksgruppen Årlig evaluering av risikostyring og internkontroll Styret bør årlig bli forelagt en evaluering av status knyttet til risikostyring og internkontroll i foretaksgruppen. Hensikten er at styret skal få informasjon om sentrale risikoer er håndtert på en hensiktsmessig måte, samt om etablert internkontroll fungerer som forutsatt og bidrar til kontinuerlig forbedring. Evalueringen bør gjøres baseres på standard rapportering fra de ulike foretakene og aggregeres til et samlet bilde for foretaksgruppen 18

6. Rapportinformasjon Internrevisjonen Om revisjonsprosjektet Revisjonsperiode: Juni 2014 september 2015 Virksomhet: Oppdragsgiver: St. Olavs Hospital HF, Helse Nord-Trøndelag HF og Helse Møre og Romsdal HF Styret i Helse Midt-Norge RHF Prosjektet er gjennomført i samarbeid med EY (Ernst & Young) Revisorer: - Ellinor Wessel Pettersen (Internrevisjonssjef HMN) - Per-Ove Godø (Internrevisor HMN) - Tove Albrektsen (Prosjektleder EY) Om internrevisjonen i Helse Midt-Norge Internrevisjonen er organisert under styret i Helse Midt-Norge RHF og rapporterer funksjonelt til styrets revisjonsutvalg og administrativt til administrerende direktør i det regionale helseforetaket. Internrevisjonen ble etablert i 2005, og er fra 1.1.2013 hjemlet i Lov om helseforetak 37a. Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i det regionale helseforetaket og helseforetakene i regionen. 19