Byrådssak 1401 /14. Internkontroll i Bergen kommune. Overordnet rammeverk ESARK-0305-201416231-1

Byrådssak 1401 /14 Internkontroll i Bergen kommune. Overordnet rammeverk INKV ESARK-0305-201416231-1 Hva saken gjelder: I denne saken presenteres et overordnet rammeverk for internkontroll, som skal bidra til å sikre at administrasjonen driver i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. Jf. kommuneloven 20 nr. 2. Rammeverket gjelder for hele Bergen kommunes organisasjon, det vil si byrådsavdelinger med underliggende etater og resultatenheter, administrative organer på bystyresiden samt kommunalt foretak. Internkontrollen skal bidra til systematiske grep for å redusere risikoen for feil og mangler. Internkontrollen er et virkemiddel for styring, og skal bidra til kvalitet og effektivitet. Formålet er kontinuerlig forbedring av systemer og praksis for å oppnå - målrettet og kostnadseffektiv drift - pålitelig rapportering - overholdelse av lover og regler - gjennomføring av bystyrevedtak/byrådsvedtak Forvaltningsrevisjoner gjennomført de to siste årene har vist at Bergen kommune har utfordringer knyttet til manglende helhetlig system for internkontroll basert på risikovurderinger. Flere tiltak er nå satt i verk for å tydeliggjøre styring og håndtere risikoutfordringer. Blant annet har byrådet vedtatt en ny HMSinstruks (byrådssak 1455-13), og lagt frem en sak som beskriver oppstart av antikorrupsjonsprogram (bystyresak 15-14). Våren 2014 er det gjennomført et prosjekt som har klargjort en metode for risikokartlegging og vurdering, og som med det gir et styrket grunnlag for arbeidet med internkontroll i kommunen. Rammeverket for internkontroll, som legges frem i denne saken, vil utgjøre en overbygning for kommunens totale internkontrollarbeid, både det som er konsernomfattende og det som er sektorspesifikt. Rammeverket tydeliggjør myndighets- og ansvarsfordelingen i internkontrollarbeid. Systematisk arbeid med interkontroll gir grunnlag for god styring, læring og forbedring. Internkontrollen handler kort sagt om systematisk arbeid, dokumentasjon av egen praksis, samt forbedring av arbeidsmetoder og samhandling for å sikre måloppnåelse og for å unngå lovbrudd og andre uønskede hendelser. Det er en viktig oppgave for alle kommunale enheter å dimensjonere og innrette de ulike aktivitetene i internkontrollarbeidet på en hensiktsmessig måte, ut fra formålet med internkontrollen og risikobildet som tegner seg. I en parlamentarisk styrt kommune er byrådet (kommunerådet) den øverste ledelse for den samlete kommunale administrasjon, jf. kommuneloven 20 nr. 1. Byrådets arbeid med internkontroll handler om byrådets ansvar for tilsyn og kontroll med den virksomheten det er satt til å lede. Ansvaret for å etablere, gjennomføre og følge opp nødvendige internkontrolltiltak følger delegasjonslinjen, og er i hovedsak delegert til kommunens administrasjon. Rammeverket for internkontroll som presenteres i denne saken, gjelder således for kommunens administrasjon. Rammeverket beskriver ikke den tilsyns- og kontrollfunksjonen som ligger til bystyret og kontrollutvalget å utøve overfor den kommunale forvaltningen. Saken vil likevel bidra til å legge til rette for at bystyret skal kunne utøve sin tilsynsfunksjon overfor byrådet, ved at den så tydelig trekker opp hva internkontrollarbeidet består i. Byrådet skal for øvrig redegjøre for arbeidet med å sikre betryggende kontroll i årsmeldingen. Jf. kommuneloven 48 nr. 5. 1

Vedtakskompetanse: Kommuneloven 20 nr 1. og nr 2. 1. Kommunerådet og fylkesrådet er den øverste ledelse for den samlede kommunale eller fylkeskommunale administrasjon, med de unntak som følger av denne lov.. 2.. Kommunerådet og fylkesrådet skal sørge for at administrasjonen drives i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. Byråden for finans, eiendom og eierskap innstiller til byrådet å fatte følgende vedtak: Byrådet vedtar rammeverket for internkontroll i Bergen kommune som presenteres i denne saken. Dato: 28. oktober 2014 Dette dokumentet er godkjent elektronisk. Liv Røssland byråd for finans, eiendom og eierskap 2

Saksutredning: 1. Om saken I denne saken presenteres et overordnet rammeverk for internkontroll i Bergen kommune, som skal bidra til å sikre at administrasjonen drives i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. Jf. kommuneloven 20 nr. 2. Rammeverket gjelder for hele Bergen kommunes organisasjon, det vil si byrådsavdelinger med underliggende etater og resultatenheter, administrative organer på bystyresiden samt kommunalt foretak. Saken bygger på den ansvars- og rolledeling som er nedfelt i fullmaktene som er delegert fra byrådet til fagbyrådene. For en mer detaljert beskrivelse vises det til byrådssak 1170-14 Byrådets fullmakter - fastlegging av hva som skal legges til byrådet som kollegialt organ, samt noen presiseringer av fagbyråders fullmakter. I en parlamentarisk styrt kommune, er byrådet (kommunerådet) den øverste ledelse for den samlete kommunale administrasjon, jf. kommuneloven 20 nr. 1. Byrådets arbeid med internkontroll handler om byrådets ansvar for tilsyn og kontroll med den virksomheten det er satt til å lede. Rammeverket som presenteres i denne saken, beskriver ikke den tilsyns- og kontrollfunksjonen som ligger til bystyret og kontrollutvalget å utøve overfor den kommunale forvaltningen. Når byrådet velger å behandle en egen sak om rammeverket for internkontrollen, vil det likevel bidra til å legge til rette for at bystyret skal kunne utøve sin tilsynsfunksjon overfor byrådet. Forvaltningsrevisjonsprosjekter bestilt av Kontrollutvalget utgjør også en vesentlig del av bakgrunnen for saken. Saksfremstillingen er bygget opp slik: I kapittel 2 presenteres bakgrunnen for saken. I kapittel 3 vises det til andre aktuelle pågående saker med relevans for utviklingen av internkontrollen i kommunen. I kapittel 4 redegjøres det prinsipielt for myndighets- og ansvarsforhold. Kapittel 5 begrunner hvorfor et overordnet rammeverk for internkontroll er viktig. Kapittel 6 går inn på hva internkontrollen skal oppfylle og hvordan den utøves i Bergen kommune. Kapittel 7 omtaler de økonomiske og administrative konsekvensene av saken. I kapittel 8 presenteres det overordnete rammeverket for internkontroll som skal gjelde for kommunens virksomhet. Herunder gis det en utfyllende beskrivelse av myndighets- og ansvarsforholdene. 2. Bakgrunn Bergen kommune har hatt stort fokus på å sikre betryggende kontroll på ulike områder av driften. Dette gjelder både i utøvelsen av fagspesifikke tjenester, og i prosesser som går på tvers i organisasjonen og som derfor gjelder alle byrådsavdelingene (konsernomfattende fagområder som økonomi, personal, forvaltning av felles IKT-systemer, anskaffelser m.m. ). Likevel er det fra 2012 til 2014 gjennomført flere forvaltningsrevisjoner som avdekker svakheter ved kommunens internkontroll. Revisor (Deloitte AS) har gjort undersøkelser i utvalgte resultatenheter og etater på myndighetsnivå 2, samt i Byrådsavdeling for finans, eiendom og eierskap (BFEE). Gjennomgående funn i disse undersøkelsene har vært at kommunen ikke har arbeidet systematisk nok med risikovurdering i tilknytning til internkontrollarbeidet. Ved mange enheter mangler et helhetlig og overordnet system for internkontroll, og det er gjennomgående flere mangler ved internkontrollen på HMS- området. I rapporten fra forvaltningsrevisjonen av internkontroll i Byrådsavdeling for finans, eiendom og eierskap (BFEE) mener revisor at det er behov for tydeliggjøring av ansvaret for internkontroll og en tydeliggjøring av hva man legger i begrepet internkontroll. Revisor mener det er viktig å etablere et overordnet system for internkontroll, som gir klare føringer til underliggende enheter og som kan bidra til å sikre en helhetlig, enhetlig, effektiv og betryggende internkontroll både i kommunen som helhet og i BFEE. (Deloitte mars 2014 s 4). Også i tilknytning enkeltsaker, der det er avdekket misligheter, kommer diskusjonen om internkontrollen i kommunen er god nok opp. BDO anbefaler i sin rapport Evaluering av Bergen kommune sitt 3

overordnede arbeid med å forebygge, avdekke og håndtere økonomisk kriminalitet at det tilføres ressurser til å forsterke kommunens overordnede arbeid med dette. Flertallet av forvaltningsrevisjonene av internkontroll som er gjennomført i perioden 2012-2014 kommer videre med forslag om tiltak på informasjonssikkerhetsområdet, noe som understøtter Datatilsynets tilsyn gjennomført de siste årene, samt forvaltningsrevisjon av informasjonssikkerhet i 2009 (Kommunerevisjonen 2009). Siden 2009 har Bergen kommune fått på plass en egen strategi for informasjonssikkerhet (bystyresak 63/11). Det er gjennomført tiltak for å bedre tilstanden generelt, men også på dette området er det nødvendig med en mer helhetlig og ledelsesforankret internkontroll. Dette må til for å sikre en kontinuerlig forbedring og tilstrekkelig god informasjonssikkerhet som beveger seg i takt med den teknologiske utviklingen. Vi ser for øvrig generelt en økt oppmerksomhet på internkontroll. Både KS og Direktoratet for økonomistyring har nylig kommet med oppdaterte veiledere i internkontroll myntet på henholdsvis kommunale og statlige virksomheter (2012 og 2013). Bystyret og kontrollutvalget hadde temaet oppe i folkevalgtopplæring 30. oktober 2013. Finansbyråden holdt her et innlegg om internkontroll i Bergen kommune, hvor det ble redegjort for ulike elementer i byrådets arbeid med styring. Det ble vist til at byrådet arbeider med å videreutvikle internkontrollarbeidet, herunder på en mer systematisk måte å legge til rette for å gjennomføre risikovurderinger. I kontrollutvalgets møte 9. september 2014 ble det av kommunaldirektør for finans, eiendom og eierskap gitt en presentasjon av arbeidet med å utvikle internkontroll basert på risikostyring. 3. Andre aktuelle saker Bergen kommune har satt i verk flere tiltak for å tydeliggjøre styring og håndtere risikoutfordringer. Siden høsten 2013 har byrådet vedtatt en ny HMS- instruks (byrådssak 1455-13), og lagt frem for bystyret en sak som beskriver oppstart av et antikorrupsjonsprogram (bystyresak 15-14). Begge disse sakene har betydning for arbeidet med internkontroll på sine respektive områder, og er nå under oppfølging/iverksetting. Våren 2014 er det gjennomført et prosjekt ledet av en ekstern konsulent, som har tilrettelagt et system for risikostyring i kommunen. Risikostyringsprosjektet bidrar med metode, verktøy og veiledningsmateriell for risikokartlegging og -vurdering, og gir slik et styrket grunnlag for arbeidet med internkontroll. Byrådet skal redegjøre for arbeidet med å sikre betryggende kontroll i årsmeldingen. Jf. kommuneloven 48 nr. 5. Parallelt med at det i denne saken presenteres et overordnet teoretisk rammeverk for internkontroll i kommunen, arbeider Byrådsavdeling for finans, eiendom og eierskap med organisatoriske grep som skal styrke internkontrollen på byrådsavdelingens konsernansvarsområder. Som ledd i dette er det besluttet å opprette en egen seksjon for internkontroll med virkning fra 01.11.14. Seksjonen vil ha tre årsverk, hvorav ett opprettes fra 2015. I tillegg har byrådsavdelingen medio 2014 opprettet ett nytt årsverk som skal arbeide spesifikt med informasjonssikkerhet, herunder internkontroll på dette feltet (fra før var ett årsverk øremerket informasjonssikkerhetsarbeid). 4. Ansvars og myndighetsforhold Byrådet har det øverste ansvaret for betryggende kontroll i kommunens organisasjon. Jf kommuneloven 20 nr 2. Ansvaret for å gjennomføre og følge opp nødvendige internkontrolltiltak følger delegasjonslinjen, og er i hovedsak delegert til kommunens administrasjon. Rammeverket for internkontroll som presenteres i denne saken, gjelder således for kommunens administrasjon, det vil si byrådsavdelinger, bystyrets administrative organer og kommunalt foretak. Det er i tråd med allment aksepterte ledelsesprinsipper at en leder av en virksomhet har ansvaret for å etablere rutiner og systemer som kan bidra til å sikre at organisasjonen når de mål som er satt, og at formuesforvaltningen er ordnet på forsvarlig måte (Bernt og Overå 2011 s 164). Resultatenhetslederne i Bergen kommune har fått delegert 4

vide fullmakter og et selvstendig økonomiansvar, herunder ansvar for drift av tjenestene, ansvar for kvalitet på tjenestene og arbeidsgiveransvar i forhold til medarbeiderne. En viktig del av internkontrollen må derfor utøves på resultatenhetsnivå. (Deloitte mai 2014 s 12). De til enhver tid gjeldende fullmaktsdokumenter og organisasjonsbeskrivelser for Bergen kommune redegjør nærmere for myndighets-, ansvars og rollefordelingen i internkontrollarbeidet. En utdypet beskrivelse går og frem av kapittel 8. IV nedenfor. 5. Hvorfor rammeverk for internkontroll I KS veileder om interkontroll (2012) illustreres hensikten med internkontroll på følgende måte (s 5): Tabell 1 Hensikten med interkontroll KS gir i veilederen (s 4) følgende råd til kommuner som vil forbedre sin internkontroll: - Risikoanalyser må danne grunnlag for internkontroll - Internkontrollen må i større grad være en del av ordinær ledelse og virksomhetsstyring - Det er nødvendig å formalisere mye av den internkontrollen som allerede utføres Disse rådene korresponderer godt med de funn og anbefalinger som fremgår av Deloittes forvaltningsrevisjonsrapporter. Det finnes likevel ikke noen fasit som lister opp hva internkontrollen i en kommune skal bestå i. I en snever forstand kan det dreie seg om økonomisk internkontroll for å sørge for gode rutiner for inn- og utbetalinger og å minske muligheter for økonomiske misligheter. I Bergen kommune har det fra 2005 og fremover vært et sterkt fokus på økonomisk internkontroll, gjennom oppbygging av systemer, rapporteringsrutiner og en egen enhet for internkontroll på økonomiområdet (frem til i dag to årsverk i Økonomiseksjonen i Byrådsavdeling for finans, eiendom og eierskap). Også på andre fag- og sektorområder gjennomføres det i kommunen svært mange aktiviteter som kommer inn under internkontrollbegrepet. Når det nå utarbeides et overordnet rammeverk for dette arbeidet, som skal gjelde for hele kommunen, er formålet å sikre systematikk i arbeidet som utføres for å oppnå betryggende kontroll. Internkontrollen skal bidra til systematiske grep for å redusere risikoen for feil og mangler på alle vesentlige områder. Når internkontrollen baseres på risikovurderinger, sikrer en at de områdene hvor sannsynligheten for og konsekvensen av feil og mangler er størst prioriteres i dette arbeidet. 5

Internkontrollen er et virkemiddel for styring, og skal bidra til kvalitet og effektivitet. Målet er kontinuerlig forbedring av systemer og praksis for å oppnå - målrettet og kostnadseffektiv drift - pålitelig rapportering - overholdelse av lover og regler - gjennomføring av bystyrevedtak/byrådsvedtak Systematisk arbeid med interkontroll gir grunnlag for god styring, læring og forbedring. Ved å jobbe ut fra visjonen om «rett første gangen» kan en øke mulighetene for ønsket måloppnåelse. Internkontrollen handler om systematisk arbeid og dokumentasjon av egen praksis, forbedring av arbeidsmetoder og samhandling for å sikre måloppnåelse og for å unngå lovbrudd og andre uønskte hendelser. - Å utarbeide av regler, instrukser, retningslinjer, verktøy etc.(rutiner og systemer) - Å sikre personell/kompetanse og kapasitet på rett plass (arbeidsdeling) - Å følge opp rutiner og systemer (praksis) - Å foreta løpende egenkontroll i linjen i samtid - Å foreta intern etterkontroll i linjen og/eller fra konsernnivå er viktige elementer i det samlete internkontrollarbeidet. Ved å sette internkontrollaktivitetene inn i en helhetlig ramme og sammenheng, fungerer de som verktøy for ledelse og styring. 6. Hva internkontrollen skal oppfylle og hvordan den utøves I vid forstand dreier internkontroll seg med andre ord om en administrativ leders ansvar for å ha tilstrekkelig systemer til å gi informasjon om hvorvidt virksomheten når de mål som er satt, innenfor rammen av lover og regler, på en kostnadseffektiv måte (KS 2012). De ulike dimensjonene i Bergen kommunes internkontroll kan illustreres gjennom matrisen i tabell 2 nedenfor. Dimensjonene horisontalt i tabellen er inndelt i konsernomfattende og sektorspesifikke fagområder/prosesser. De konsernomfattende fagområdene/prosessene kjennetegnes ved at de omfatter hele kommunens organisasjon, det vil si alle byrådsavdelingene med underliggende enheter, bystyrets administrative organer og kommunalt foretak. Det innebærer at regler og systemer gjelder gjennomgående i hele kommunens organisasjon. Lønnspolitikk og tariffbestemmelser er eksempler som kommer inn under personal- og organisasjon. At arbeidsmiljølovens og internkontrollforskriftens krav til helse-, miljø- og sikkerhet (HMS) etterleves, er et annet eksempel. Likeså gjelder det for hele Bergen kommune at anskaffelsesstrategien skal overholdes og at informasjonssikkerhet (IS) skal ivaretas. Her vil byrådsavdelingen med konsernomfattende ansvar ha ansvar for internkontrollen på et overordnet nivå (for alle de nevnte eksemplene er dette Byrådsavdeling for finans, eiendom og eierskap). Ansvaret for at gjeldende lov- og regelverk og politiske vedtak etterleves og følges opp, samt at kommunens systemer og rutiner tas i bruk og etterleves, ligger imidlertid i linjen (i den enkelte byrådsavdeling, ved bystyrets kontor og i Bergen Vann KF). Ansvaret for at det foreligger et fungerende internkontrollsystem på det operative nivå, samt at det gjennomføres dokumenterbar internkontroll i tråd med gjeldende krav og behov, ligger på resultatenhetsnivå. 6

Tabell 2 Internkontrollens dimensjoner (Opplistingen av fagdimensjoner bortover er ikke uttømmende) *Dette omhandler ikke den revisjon som bystyre og kontrollutvalg er ansvarlig for, kun intern etterkontroll/revisjon på byrådssiden. Foretas av enheten selv, byrådsavdelingen eller byrådsavdelingen som har konsernansvar for aktuelt område (evt. kan det leies inn eksterne leverandører til å utføre særskilte evalueringer). På sektorspesifikke fagområder vil den eller de byrådsavdelingene, som har det aktuelle fagansvaret ha et overordnet ansvar for internkontrollsystemene og internkontrollen. Også her har resultatenhetene ansvar for internkontrollen på det operative nivå. Både for konsernomfattende fagområder (som berører hele virksomheten) og sektorspesifikke områder (som berører en eller noen byrådsavdelinger) vil det i mange tilfeller være stilt krav til internkontrollen gjennom lov eller forskrift. 1. Vektleggingen av og balanseforholdet mellom de tre vertikale dimensjonene som fremgår i tabell 2 - rutiner/systemer/arbeidsdeling - praksis/løpende egenkontroll - intern etterkontroll/revisjon 1 Jf. f.eks. forskrift om systematisk helse-, miljø- og sikkerhetsarbeid i virksomheter og personopplysningsloven 14 om internkontroll (begge er konsernomfattende fagområder). Jf. også f.eks. forskrift om internkontroll i sosial- og helsetjenesten; forskrift om internkontroll for kommunens oppgaver etter lov om barneverntjenester; opplæringsloven 9a-4 samt forskrift om internkontroll for å oppfylle lov om vassdrag og grunnvann (eksempler på sektorspesifikke fagområder). 7

avhenger av aktuelle krav og utfordringer til enhver tid. Ved prioritering av hvor mye ressurser som skal anvendes til forebyggende styringsaktiviteter som utarbeiding av rutiner, systemer og arbeidsdeling vs aktiviteter knyttet til praksis/løpende egenkontroll og intern etterkontroll/revisjon, må det tas hensyn til kravet om effektivitet og god ressursanvendelse. Systematiske risikoanalyser skal bidra til at ressursene rettes inn mot de områdene hvor sannsynlighet og konsekvens av manglende måloppnåelse tilsier at risikoen er størst. 7. Økonomiske og administrative konsekvenser av saken Denne saken medfører at kravene til kommunens internkontrollarbeid klargjøres. Rolledelingen mellom byrådsavdelinger med konsernansvar og fagbyrådsavdelingene blir tydeligere. Likeledes blir det gjort tydelig hvilket prinsipielt ansvar som hviler på resultatenheter og etater. Saken medfører ikke nye plikter i forhold til den myndighet og det ansvar som utledes fra allerede eksisterende bestemmelser i lover, forskrifter, politiske vedtak (herunder delegasjonsvedtak), samt andre overordnede retningslinjer og instrukser for Bergen kommune. Kravet om at internkontrollen skal baseres på risikovurderinger, bidrar til å sikre prioritering i internkontrollarbeidet. Det forutsettes at byrådsavdelingene og underliggende enheter implementerer og følger opp rammeverket innenfor sitt vedtatte budsjett. Det må vurderes hvordan administrative ressurser kan styres for å sikre kompetanse og kapasitet til oppfølging av dette arbeidet. På bakgrunn av funn og anbefalinger i revisjonsrapporter (BDO 2014, Deloitte mars 2014) legges det i byrådets forslag til budsjett for 2015 opp til å opprette en ny stilling som skal styrke internkontrollarbeidet på konsernomfattende fagområder. Dette innebærer en ny stilling i BFEEs nye seksjon for internkontroll. I tillegg til en styrking av etterkontrollen på konsernomfattende fagområder, vil dette innebære økt kapasitet og kompetanse til å gi veiledning og støtte til byrådsavdelingene i deres utvikling av internkontrollfunksjonen. 8. Overordnet rammeverk for internkontroll i Bergen kommune basert på risikovurderinger Med utgangspunkt i forholdene som er beskrevet i denne saken, er følgende rammeverk for internkontroll utarbeidet for Bergen kommune: BERGEN KOMMUNES RAMMEVERK FOR INTERNKONTROLL BASERT PÅ RISIKOVURDERINGER Internkontroll basert på risikovurderinger skal bidra til å sette fokus på faktorer som er vesentlig for måloppnåelse innen vedtatte rammer, tjenesteleveranser med avtalt kvalitet og myndighetsutøvelse i tråd med gjeldende regler. I. Gyldighetsområde Bergen kommunes rammeverk for internkontroll gjelder for byrådsavdelingene og deres underliggende etater og resultatenheter (heretter kalt underliggende enheter), administrative organer på bystyresiden og kommunalt foretak. Rammeverket gjelder internkontroll på - konsernomfattende fagområder (som økonomi, anskaffelser, HMS, personal/organisasjon, IKT og informasjonssikkerhet) 8

- sektorspesifikke fagområder (som barnehage, skole, helse og omsorg, sosialtjenester, brannvern, byutvikling, byggesak, vann og avløp, kultur, idrett og så videre). II. Definisjon internkontroll Med internkontroll menes i videste forstand alt det en virksomhet gjør for å sikre betryggende kontroll. Dette omfatter systematiske tiltak som skal sikre at virksomhetens aktiviteter styres, planlegges, organiseres, utføres og vedlikeholdes i samsvar med krav fastsatt i lover, forskrifter samt virksomhetens overordnede beslutninger, reglementer og vedtak. III. Internkontrollens formål og virkemidler Internkontrollens formål er kontinuerlig forbedring for å sikre - målrettet og kostnadseffektiv drift - pålitelig rapportering - overholdelse av lover og regler - gjennomføring av bystyrevedtak/byrådsvedtak Den samlete internkontrollen skal 1. Legge grunnlag for riktig ressursbruk (rett første gangen) gjennom utarbeiding av rutiner og systemer til bruk i styring av virksomheten, samt sikring av rett kompetanse, tilstrekkelig kapasitet og hensiktsmessig arbeidsdeling. Dette oppnås gjennom utarbeiding og ajourhold av regler, rutiner, prosedyrer, verktøy, opplæring, planlegging og organisering av arbeidet mm. 2. Sørge for at rutiner og systemer tas i bruk og følges opp i praksis og legge til rette for og betryggende kontroll gjennom dokumenterbar løpende egenkontroll. Dette oppnås ved at ledelsen påser at regelverk følges, vedtak iverksettes, relevant verktøy benyttes og at mål og resultater oppnås. 3. Legge til rette for korrigering og kontinuerlig forbedring gjennom etterprøving av systemer og praksis. Dette oppnås gjennom interne etterkontroller/revisjoner, herunder stikkprøvekontroller, evalueringer mm. Internkontrollen må tilpasses virksomhetens egenart og risiko, og skal oppfylle krav i gjeldende lover, forskrifter og politiske vedtak. IV. Myndighet og ansvar Byrådet har det overordnete ansvaret for at administrasjonen drives i samsvar med lover, forskrifter og overordnede instrukser, og at den er gjenstand for betryggende kontroll. Jf. kommuneloven 20 nr. 2. Myndighet til og medfølgende ansvar for å utøve internkontroll i kommunens virksomhet er delegert fra byrådet til fagbyrådene, og som hovedregel videredelegert til administrasjonen. Myndighet til og ansvar for å gjennomføre og følge opp nødvendige internkontrolltiltak følger av delegasjonslinjen. De til enhver tid gjeldende fullmaktsdokumenter og organisasjonsbeskrivelser redegjør nærmere for myndighets-, ansvars og oppgavefordelingen i internkontrollarbeidet. Med myndighet menes i denne sammenheng kompetanse til å fatte beslutninger og iverksette tiltak på et gitt område. Å ha myndighet innebærer at man formelt kan bli stilt til ansvar for beslutninger som er fattet og tiltak som er iverksatt, eventuelt mangel på beslutninger og tiltak. Denne formen for formelt 9

ansvar henger nøye sammen med tildelt kompetanse til å utøve skjønn og fatte beslutninger (myndighet). Denne bruken av begrepet ansvar skiller seg noe fra dagligtalen, der ansvarsbegrepet gjerne knyttes direkte til selve oppgaveutførelsen. Prinsipielt gjelder følgende: For konsernomfattende fagområder og arbeidsprosesser har kommunaldirektør med aktuelt konsernansvar på delegert fullmakt - myndighet til og ansvar for å utvikle og holde ved like felles, overordnede rutiner og systemer (regler, instrukser, retningslinjer og verktøy) - myndighet til og ansvar for å etterse at felles, overordnede rutiner og systemer implementeres i hele kommunens virksomhet på en tilfredsstillende måte - myndighet til og ansvar for å gjennomføre etterkontroller på de aktuelle fagområdene i hele kommunens virksomhet, herunder stikkprøvekontroller basert på risikoanalyse Kommunaldirektør med aktuelt konsernansvar har som oppgave å veilede byrådsavdelingene når det gjelder forståelse og bruk av konsernrutiner og systemer. Kommunaldirektøren i den enkelte byrådsavdeling har på delegert fullmakt - myndighet til og ansvar for å utvikle og holde ved like fagsystemer og rutiner for sine fagområder og arbeidsprosesser - myndighet til og ansvar for å implementere instrukser og faglige standarder som skal gjelde for underliggende enheter - myndighet til og ansvar for å påse at aktuelle systemer er etablert og benyttes i egen byrådsavdeling, at enhetene arbeider for å sikre personell/kompetanse og kapasitet (arbeidsdeling) samt at tilstrekkelig dokumentasjon foreligger. Dette gjelder både for konsernomfattende og sektorspesifikke fagområder/prosesser og kan skje både som løpende egenkontroll og som etterkontroll. Kommunaldirektøren i den enkelte byrådsavdeling har som oppgave å veilede underliggende enheter når det gjelder forståelse og bruk av aktuelle rutiner og systemer. Resultatenhetsleder har myndighet til å styre, følge opp og utvikle egen virksomhet innenfor gitte driftsfullmakter (økonomi-, personal- og fagfullmakter). Resultatenhetsleder er innenfor de gitte rammer ansvarlig for resultatene i egen resultatenhet og utøver ledelse for å oppnå vedtatte mål. Måloppnåelse er vesentlig for å sikre leveransen av tjenester til brukere, borgere og andre samfunnsaktører, i rett omfang og med rett kvalitet. For å sikre en målrettet og kostnadseffektiv drift, pålitelig rapportering, overholdelse av lover og regler samt gjennomføring av bystyrevedtak/byrådsvedtak har resultatenhetsleder - myndighet til og ansvar for at det foreligger et dokumenterbart internkontrollsystem basert på risikovurderinger, som oppfyller lovens krav - ansvar for å ta i bruk aktuelle konsernomfattende og fagspesifikke systemer og rutiner, tilpasset virksomhetens egenart og risikobilde - myndighet til og ansvar for å forestå løpende egenkontroll av enhetenes praksis, herunder å håndtere og korrigere avvik - myndighet til og ansvar for å gjennomføre etterkontroller i egen enhet - myndighet til og ansvar for å iverksette nødvendige tiltak innenfor eget ansvarsområde, innenfor tildelte rammer, gjeldende lover og regler, og i tråd med politiske vedtak For bystyrets kontor og kommunalt foretak gjelder tilsvarende prinsipper. V. Styringsprinsipp og styringsdialog Systematisk internkontroll er en viktig forutsetning for systematisk forbedringsarbeid og kvalitetsutvikling. Internkontrollen inngår som en viktig og integrert del av styringen av virksomheten, og må følgelig være et sentralt tema i styringsdialogen mellom overordnete og underordnete enheter. 10

Styringsdialogen med underliggende virksomheter må organiseres på en måte som er tilpasset virksomhetens egenart og risikobilde. Styringsdialogen mellom byrådsavdelinger og underliggende enheter skal være dokumenterbar gjennom fastsettelse av mål og resultatkrav i årsoppdrag/lederavtaler, risikovurderinger, møtereferater etc. Bergen kommune benytter balansert målstyring i hele virksomheten. Resultatenhetsleder har ansvar for å melde fra til kommunaldirektør når systemer og/eller praksis som er nødvendig for å sikre måloppnåelse fremstår med vesentlige feil og mangler. Likeledes har kommunaldirektør ansvar for å melde fra til byråden om vesentlige feil, mangler samt ved betydelige avvik. Hver enkelt byrådsavdeling må melde fra til byrådsavdeling med konsernansvar ved eventuelle mangler og svikt i konsernomfattende rutiner og prosesser. På vesentlige risikoområder må behovet for særskilte rapporteringsordninger vurderes. Byrådsavdelingene må også legge vekt på at behovet for særskilt rapportering fra byrådet til bystyret vurderes, dersom det foreligger betydelige avvik fra vesentlige forutsetninger. Hvis leder er usikker på egen beslutningskompetanse, har vedkommende en plikt til å bringe saken til overordnet nivå for en avklaring. VI. Forutsetninger for et systematisk og helhetlig internkontrollarbeid Systematisk oppmerksomhet på følgende fem områder skal sikre et helhetlig og kontinuerlig arbeid med internkontroll i Bergen kommune. 2 a. Styrings- og kontrollmiljø Styrings- og kontrollmiljøet er grunnmuren i internkontrollsystemet, og består av ledelsens og medarbeidernes holdninger, etiske verdier og kompetanse. Kontrollmiljøet blir påvirket av hvordan virksomheten er organisert, hvilken ledelsesfilosofi som gjelder og hvordan lederskapet blir praktisert. Byrådsavdelingene og deres underliggende enheter, bystyrets administrative organer og kommunalt foretak må legge vekt på etablering av en hensiktsmessig organisasjonsstruktur med forsvarlig rolledeling tydelige fullmakter og rapporteringslinjer ved tildeling av myndighet og ansvar ledelsens og ansattes kompetanse og holdninger til kvalitet, avvik, risiko, styring og kontroll integritet, etiske verdier og etisk refleksjon b. Risikostyring Risikokartlegginger og risikovurderinger (risikostyring) skal sikre at ressurser prioriteres til områder av virksomheten hvor sannsynlighet for og konsekvens av svikt, feil eller mangler er størst. Det må gjøres skriftlige risikoanalyser både sentralt i byrådsavdelingene og i de underliggende enhetene, samt i bystyrets administrative organer og kommunalt foretak. Risikoanalyser sentralt i byrådsavdelingene vil danne grunnlag for prioritering av hvilke områder/enheter som skal følges opp fra byrådsavdelingsnivå. Byrådsavdelingene og deres underliggende enheter, bystyrets administrative organer og kommunalt foretak skal følge kommunens etablerte prinsipper for risikostyring. Informasjon, verktøy og veiledning om hvordan man kan gjøre risikovurderinger og etablere tiltak, går frem av kommunens nettside om risikostyring. 2 De fem områdene er i utgangspunktet basert på COSO-rammeverket. 11

c. Internkontrolltiltak Basert på risikovurderinger skal det settes i verk målrettete risikoreduserende tiltak der sannsynlighet for og konsekvens av svikt, feil eller mangler tilsier det (jf. pkt. b). Byrådsavdelingene og deres underliggende enheter, bystyrets administrative organer og kommunalt foretak har myndighet til og ansvar for å sette i verk nødvendige, målrettede interkontrolltiltak på eget myndighets- og ansvarsområde. Tiltakene kan rette seg mot både systemer, arbeidsdeling og praksis. Tiltak skal settes i verk innenfor godkjente økonomiske rammer. Vektleggingen av og balanseforholdet mellom - tiltak som virker forebyggende, det vil si legger grunnlaget for rett ressursbruk gjennom utvikling av systemer og arbeidsdeling - tiltak som virker i samtid gjennom oppfølging av praksis og løpende egenkontroll - etterkontroller som legger til rette for korrigering og kontinuerlig forbedring av systemer og praksis (intern etterkontroll/revisjon) må bestemmes ut fra virksomhetens og/eller fagfeltets egenart, det aktuelle risikobildet samt hensynet til kravet om effektivitet og god ressursanvendelse (kost-/nyttevurderinger). d. Informasjon og kommunikasjon For å oppnå god internkontroll, er det viktig med effektiv og oppdatert informasjon og kommunikasjon, både horisontalt og vertikalt i organisasjonen. Dette er nødvendig for at ansvar og myndighet skal kunne ivaretas og utøves på en god måte i alle organisasjonsledd. Behovet for styringsinformasjon må defineres på alle nivåer og gå inn som en del av styringsdialogen. Byrådsavdelingene og deres underliggende enheter, bystyrets administrative organer og kommunale foretak må legge vekt på - tydelig skriftlig og muntlig kommunikasjon og forventningsavklaringer knyttet til delegasjon av myndighet og medfølgende ansvar - systematisk kommunikasjon og gode informasjons- og kommunikasjonsrutiner i styringslinjen om risikovurderinger, risikoreduserende tiltak, måloppnåelse samt ulike typer avvik - at kommunikasjonen er kjennetegnet av åpenhet og at problemer kan tas opp uten frykt for represalier. e. Ledelsens oppfølging For å sikre gjennomføring av handlinger og endringer som er nødvendige for å oppnå god internkontroll, er ledelsens oppfølging svært viktig. Ledelsen må etablere, tilpasse og videreutvikle systemer og praksis som sikrer at internkontrollsystemet fungerer på en effektiv måte over tid. Internkontrollarbeidet skal ses i sammenheng med kvalitet og inngå som et ledd i arbeidet med kontinuerlig forbedring av systemer og praksis. Avvik som avdekkes gjennom internkontrollen skal følges opp med korrigerende tiltak og bidra til organisatorisk læring og forbedring. Ledelsen må sørge for at medarbeidere i egen enhet er innforstått med formålet med internkontrollen, og hvilke krav som stilles om betryggende kontroll på det aktuelle tjenesteområde, både i henhold til gjeldende lovverk og kommunens egne vedtak og rutiner og systemer. En sentral oppgave for ledelsen er å bidra til å håndtere dilemmaer, hvor det ikke er opplagt hva som vil være den rette løsningen. 12

Litteratur Bernt J. F og Overå O. (2011): Lov om kommuner og fylkeskommuner av 25. september 1992 Nr. 107 Med kommentarer, Kommuneforlaget, Oslo (5. utgave, 1. opplag) BDO (januar 2014): Rapport. Evaluering av Bergen kommune sitt overordnete arbeid med å forebygge, avdekke og håndtere økonomisk kriminalitet Direktoratet for økonomistyring: Veileder i internkontroll. DFØ 04/2013 Deloitte AS (mai 2014): Forvaltningsrevisjon av interkontroll i Bergen kommune. Kemneren Deloitte AS (mars 2014): Forvaltningsrevisjon Bergen kommune, Internkontroll i Byrådsavdeling for finans, eiendom og eierskap Deloitte AS (mai 2013): Forvaltningsrevisjon av interkontroll i Bergen kommune. IKT Drift Deloitte AS (mai 2013): Forvaltningsrevisjon av interkontroll i Bergen kommune. Kalfaret sykehjem Deloitte AS (mai 2013): Forvaltningsrevisjon av interkontroll i Bergen kommune. Trafikketaten Deloitte AS (april 2013): Forvaltningsrevisjon av interkontroll i Bergen kommune. Enhet for psykisk helse Laksevåg Deloitte AS (april 2013): Forvaltningsrevisjon av interkontroll i Bergen kommune. Loddefjord skole Direktoratet for økonomistyring (2013): Veileder i internkontroll Kommunerevisjonen 2009: Forvaltningsrevisjonsprosjektet Informasjonssikkerhet og behandling av personopplysninger i Bergen kommune. Revisjonsrapport 69/F-08 https://www.bergen.kommune.no/bk/multimedia/archive/00068/nr_1_-_2009_informas_68010a.pdf KS Effektiviseringsnettverkene (2012): Rådmannens internkontroll. Orden i eget hus. Oslo kommune (2008): Overordnet rammeverk for god internkontroll i Oslo kommune (byrådssak 1057/08) Ot.prp. nr. 70 (2002-2003): Om lov om endringer i lov 25. september 1992 nr. 107 om kommuner og fylkeskommuner m.m. (kommunal revisjon) 13