Saksframlegg Referanse Saksgang: Styre Møtedato Styret Helseforetakenes senter for pasientreiser ANS 10/06/2015 SAK NR 36-2015 Resultater fra gjennomgang av internkontroll 1. halvår 2015 og plan for gjennomgang i 2. halvår 2015 Forslag til vedtak: 1. Styret tar resultater fra gjennomgang av internkontroll 1. halvår 2015 til etterretning. 2. Styret slutter seg til foreslått opplegg for gjennomgang av internkontroll ved pasientreisekontorene og Pasientreiser ANS i 2. halvår 2015. Skien, 3. juni 2015 Marit Kobro Administrerende direktør Side 1 av 5
1. Administrerende direktørs anbefalinger / konklusjon Arbeidet med internkontroll i Pasientreiser ANS har gitt gode resultater. Implementering av TQM i 2015 vil bidra til en kvalitetsforbedring, bl.a. mht intern styring og kontroll. Potensialet for effektiviseringsgevinster i internkontrollsystemet gjennom å bruke TQM er fortsatt ikke fullt ut realisert og selskapet vil arbeide målrettet for ytterligere å forbedre systemet. Det er gjort et omfattende arbeid med gjennomgang av internkontroll ved alle pasientreisekontorene i 1. halvår 2015. Gjennomgangene sikrer at Pasientreiser ANS ivaretar sin rolle som databehandleransvarlig ved å påse at databehandlerne (pasientreisekontorene) har en forsvarlig internkontroll. Resultatene viser gjennomgående at databehandlerne har en forsvarlig internkontroll, selv om det fortsatt er noen områder med forbedringspotensial. 2. Faktabeskrivelse 2.1 Hva saken gjelder I styremøtet 22. januar 2015 (sak 05-2015) ble opplegg for gjennomføring av internkontroll ved pasientreisekontorene og internt i Pasientreiser ANS 1. halvår 2015 lagt frem for styret. I foreliggende styresak presenteres oppfølgingen av internkontroll 1. halvår 2015, samt planlagt arbeid 2. halvår 2015. Som databehandlingsansvarlig for PRO og NISSY er Pasientreiser ANS ansvarlig for å påse at databehandlerne har en forsvarlig internkontroll. Helseforetakene v/pasientreisekontorene og eksterne IKT-leverandører er definert som databehandlere. Selskapets ansvar for å gjennomgå internkontrollen hos disse instansene er begrenset til områder som gjelder pasientreiseområdet og som omfattes av databehandleravtalene. Internkontrollen er definert med krav i helseregisterloven, syketransportregisterforskriften, norm for informasjonssikkerhet i helsesektoren (Normen) og databehandleravtalene med selskapene. Kravene gjelder databehandleransvarlig og databehandler. 2.2 Resultater av arbeid med internkontroll ved pasientreisekontorene våren 2015 I 1. halvår 2015 er det gjort en gjennomgang av internkontrollen ved alle pasientreisekontorene. Resultatene av gjennomgangen er oppsummert i tabell 1 og i en detaljert versjon i vedlegg til saken. Tabell 1: Resultater av gjennomgang av internkontroll ved pasientreisekontorene 1. halvår 2015 Områder Vurdering i endelige rapporter Grønn Gul Rød Oppfølging av tiltak fra forrige gjennomgang 17 0 0 Tilgangsstyring PRO 7 (+ 5 i.a.) 5 0 Tilgangsstyring NISSY 16 1 0 Etterlevelse av bilag 1 (generell) 1 9 7 Etterlevelse av bilag 1 (støttesystemer) 0 17 0 I gjennomgangene ble det fokusert på fem hovedområder: 1. Oppfølging av tiltak fra forrige gjennomgang Ved forrige gjennomgang var rapporten delt inn i 15-16 fokusområder. Det var stor variasjon på hvilke områder som ble vurdert i grønn, gul og rød sone ved pasientreisekontorene. For områder i gult og rødt ble det gitt anbefalinger om oppfølgingstiltak for å sikre at observerte svakheter ble rettet. Gjennomgangen i 2015 viser at alle kontorene har iverksatt tilfredsstillende tiltak for å følge opp tidligere gitte anbefalinger. 2. Tilgangsstyring PRO Det er et krav om at tilgangene i PRO skal være oppdaterte, personlige og differensierte etter behov. Gjennomgangen viste at tilgangene i hovedsak var oppdaterte, men at det ved noen Side 2 av 5
pasientreisekontor var avvik. Tilgangene er nå oppdaterte og det har også skjedd endringer i nasjonale prosedyrer med jevnlige utsjekk av tilgangene for å sikre riktig etterlevelse av kravene. 3. Tilgangsstyring NISSY I likhet med PRO, er det krav om at tilgangene i NISSY skal være oppdaterte, personlige og differensierte etter behov. Manglende nasjonale føringer gjør det utfordrende for pasientreisekontorene å sikre løpende oppfølging av tilgangene. Det er observert svakheter ved dagens oppfølging av rekvirenter, men påpekte utfordringer knyttet til rekvisisjonstilgangene tilskrives primært tekniske utfordringer i systemet, og oppfølgingen av disse må skje gjennom endringer i systemet. Systemeier NISSY har etablert en nasjonal prosedyre for tilgangsstyring i NISSY i løpet av våren 2015 i samarbeid med databehandlerne, kfr styresak 34-2015 Alle pasientreisekontor har fått som anbefaling å sørge for tilstrekkelig opplæring og etterlevelse av denne prosedyren. 4. Etterlevelse av bilag 1 (generell) Kravene i bilag 1 handler om å sikre riktig behandling av personopplysninger. Det er blant annet viktig å ha en oversikt over hvilke opplysninger som behandles, hvordan de lagres, hvor lenge de lagres og hvem som har tilgang til dem. Det er gjennomgående to områder som mangler ved pasientreisekontorene; sletteplaner og oversikt over tilganger. Dette er nå under etablering og arbeidet sluttføres gjennom dokumentasjonen av støttesystemene, jfr neste punkt. Gjennomgangene har avdekket at det ved syv av pasientreisekontorene er etablert en uriktig praksis med innhenting av personopplysninger. Ved noen pasientreisekontor sendes personopplysninger med e-post fra de ansatte og pasientene oppfordres til å sende personopplysninger per e-post, eksempelvis innkallingsbrev. Ved disse kontorene er området vurdert i rødt og det er et krav om at praksis opphører umiddelbart. Pasientreiser ANS har skissert en rekke lovlige alternativer og det arbeides også med nasjonale løsninger for sikker meldingsutveksling (e-post,sms og mms) mellom pasientreisekontor og pasienter. 5. Etterlevelse av bilag 1 (støttesystemer) Som tidligere omtalt i styresak 28-2015, har hvert enkelt pasientreisekontor har fått en gjennomgang av de signerte bilagene sammen med kvalitetsrådgiver i Pasientreiser ANS der man også ser på betydningen av kravene for kontoret. For å sikre at støttesystemene ivaretar krav til informasjonssikkerhet og personvern må databehandler dokumentere at dette er ivaretatt for den databehandlingsansvarlige. Dette arbeidet var igangsatt, men foreløpig ikke sluttført ved pasientreisekontorene på tidspunktet for gjennomgangene.. Primo juni har alle pasientreisekontorene fått endelig vurdering av sin respektive bruk av støttesystemer. Ved uregelmessigheter i bruken vil Pasientreiser ANS gi det enkelte kontor tilbakemelding på hvilke tiltak som må iverksettes for at bruken skal være i tråd med revidert databehandleravtale. Styret vil bli informert når disse forholdene er på plass, trolig til septembermøtet. 2.3. Resultater av arbeid med internkontroll i Pasientreiser ANS våren 2015 I Pasientreiser ANS har det vært et spesielt fokus på opplæring og implementering av det elektroniske internkontrollsystemet TQM. Systemet består av fire moduler: dokument, risiko, hendelser og aktivitet. Våren 2015 har selskapet tatt i bruk modulene for dokumenter og hendelser. Dette vil medføre en ytterligere kvalitetssikring av intern styring og kontroll når implementeringen er sluttført, spesielt knyttet til at ansvar og roller blir tydeliggjort. Innføring av TQM innebærer også at selskapet får et mer effektivt verktøy for oppfølging. Ved overføring av styrende dokumenter og prosedyrer i selskapet til TQM blir det samtidig gjort en gjennomgang av ansvar og roller i selskapet. Hensikten er å sikre at alle ansvarsområder er forsvarlig ivaretatt i den nye organisasjonsstrukturen. Side 3 av 5
I forbindelse med implementeringen av hendelsesmodulen har fokuset på avvik endret seg i selskapet. Hendelser defineres nå som avvik, observasjoner og forbedringsforslag. Dette er en viktig endring for også å inkludere muligheter i systemet og ikke bare svakheter. Dette representerer også en ytterligere systematisering av arbeidet med kontinuerlig forbedring i selskapet, noe som også er et viktig tiltak med å redusere tidstyver, jamfør krav i oppdragsdokumentet for 2015. Med grunnlag i en helhetlig risikovurdering av beredskap høsten 2014, er det planlagt en beredskapsøvelse knyttet til NISSY 17. juni 2015. I øvelsen vil det bli involvert deltaker fra pasientreisekontor og det vil også inkluderes andre sentrale aktører i en simulering av en hendelse. Øvelsen har til hensikt å etterse om forbedringstiltakene som ble implementert etter nedetiden i NISSY 19. desember 2014 fungerer etter hensikten og å avdekke eventuelle svakheter. 2.5 Plan for arbeid med internkontroll ved pasientreisekontorene høsten 2015 Våren 2015 har det blitt gjennomført omfattende gjennomganger av internkontrollen ved alle pasientreisekontorene med gjennomgående gode resultater. Det er likevel gitt noen anbefalinger til tiltak for oppfølging. Pasientreiser ANS vil høsten 2015 følge opp at pasientreisekontorene iverksetter tilstrekkelige tiltak for å få påpekte områder definert i grønt. Dette vil gjennomføres gjennom dialog med lederne ved pasientreisekontorene og resultatene av dette arbeidet vil rapporteres til styret. 2.6 Plan for arbeid med internkontroll internt i Pasientreiser ANS høsten 2015 Videreutvikling av styringssystemet vil fortsatt være et prioritert område i selskapet. Arbeidet med å øke kvaliteten i sentrale dokumenter og prosedyrer vil videreføres. Det vil også iverksettes tiltak for å påse at hendelsesmodulen brukes aktivt slik at det blir et effektivt styringsverktøy i selskapet. Høsten 2015 vil risikomodulen og aktivitetsmodulen i TQM implementeres. Risikomodulen er basert på samme metodikk som selskapet bruker i dag, men fordelen ved å bruke modulen, er at den bidrar til å sikre at selskapets risikobilde er oppdatert ved at oppfølging av tiltak er en integrert del av risikobildet. Dette er spesielt viktig for selskapet i en fase med mange prosjekter, hvor risikoen vil kunne variere i større grad enn ved normal drift. Aktivitetsmodulen vil bidra til et felles aktivitetshjul, med integrert varsling av frister og oppgaver til ansvarlige. Dette vil kunne bidra til å gi ledelsen en bedre oversikt over utfordringsbildet og sørge for at vedtatte oppgaver gjennomføres i samsvar med plan. En prioritert oppgave høsten 2015 vil være oppfølgingsarbeidet av tiltak etter internrevisjonens rapport 1/2015., kfr styresak 33-2015. Oppfølging av dette arbeidet vil rapporteres som egen styresak i september. Arbeidet med å utvikle nye e-læringsmoduler om internkontroll og risikostyring var planlagt igangsatt i 2. kvartal 2015. Dette har blitt utsatt til 2. halvår 2015 på grunn av stort ressursomfang på gjennomganger ved pasientreisekontorene for kvalitetsrådgiver i selskapet. Målgruppen for e- læringsmodulene er ansatte i Pasientreiser ANS og ved pasientreisekontorene. Dette arbeidet vil være et viktig bidrag i å sikre grunnopplæring i internkontroll og risikostyring innen pasientreiseområdet, og arbeidet vil prioriteres og sluttføres i løpet av 2015. Med grunnlag i en helhetlig risikovurdering av beredskap vil det, i likhet med våren 2015, gjennomføres en beredskapsøvelse høsten 2015. Fokus for denne øvelsen vil være knyttet til PRO. I tillegg vil det som tidligere gjennomføres fortløpende interne gjennomganger av områder etter behov og med basis i risikovurdering av internkontrollen i selskapet. 3. Administrerende direktørs vurderinger 3.1 Risikovurderinger: etisk, faglige, økonomiske, omdømmemessige, juridiske m.v Side 4 av 5
Det er sentralt at Pasientreiser ANS som databehandleransvarlig sikrer at databehandlerne ivaretar kravene til en god internkontroll og at partene forstår ansvaret man er tillagt i henhold til forskrift og avtaleverk. Kunnskap om regelverk og krav om internkontroll i databehandleravtaler er grunnleggende for en riktig etterlevelse. Vårens gjennomganger bekrefter at dette i hovedsak er på plass. I Pasientreiser ANS er det etablert en forsvarlig internkontroll, noe internrevisjonen har bekreftet gjennom sine revisjoner i selskapet. Det vil fortsatt være fokus på utvikling og forbedring, spesielt gjennom effektivisering og kvalitetsheving i TQM. 3.2 Evt dialog/forankring av saken (ansatte / brukerne) Gjennomføringen av gjennomgangene ved pasientreisekontorene var forankret med lederne ved pasientreisekontorene. Rapporter fra gjennomgangene ble sendt berørte helseforetak og regionale helseforetak. Tilbakemeldingene fra gjennomgangene er at dette har blitt gjennomført på en god og hensiktsmessig måte. Gjennomgangene har gitt ledere og nøkkelpersonell ved pasientreisekontorene en kompetanseheving om sentrale områder som databehandlere har ansvar for,personvern, risikostyring og internkontroll. Det er god dialog mellom partene. 3.3 Konklusjon Arbeidet med internkontroll i Pasientreiser ANS har gitt gode resultater. Implementering av TQM i 2015 vil bidra til en kvalitetsforbedring, bl.a. mht intern styring og kontroll. Potensialet for effektiviseringsgevinster i internkontrollsystemet gjennom å bruke TQM er fortsatt ikke fullt ut realisert og selskapet vil arbeide målrettet for ytterligere å forbedre systemet. Det er gjennomført et omfattende arbeid med gjennomgang av internkontroll i 1. halvår 2015 ved alle pasientreisekontorene. Gjennomgangene sikrer at Pasientreiser ANS ivaretar sin rolle som databehandleransvarlig ved å påse at databehandlerne (pasientreisekontorene) har en forsvarlig internkontroll. Resultatene viser gjennomgående at databehandlerne har en forsvarlig internkontroll, selv om det fortsatt er noen områder med forbedringspotensial, kfr f eks punkt om bruk av støttesystemer ved pasientreisekontorene. Vedlegg: Resultater av gjennomgang av internkontroll ved pasientreisekontorene 2015 Utrykt vedlegg: Rapport 1/2015-17/2015: Gjennomgang av internkontroll ved pasientreisekontorene Side 5 av 5