Saksframlegg Referanse Saksgang: Styre Møtedato Styret Helsetjenestens driftsorganisasjon for nødnett HF 10.juni 2016 SAK NR 22-2016 Risikovurdering, internkontroll og avvik Forslag til vedtak: 1. Styret tar saken til orientering Gjøvik, 3.juni 2016 Lars Erik Tandsæther Administrerende direktør
Sak 22-2016 Risikovurdering, internkontroll og avvik 1 Administrerende direktørs anbefaling Administrerende direktør mener det er lagt et godt grunnlag for videre arbeid med risiko, internkontroll og avvikshåndtering i HDO. Konsept og modell for risikokontroll i HDO er basert på en godt bearbeidet modell. Risikoregisteret som er etablert gir et godt utgangspunkt for videre arbeid, internt i HDO, og med andre aktører involvert i leveranse og utvikling av de tjenester HDO yter sine kunder. Administrerende direktør vil videreføre arbeidet med risikovurdering, internkontroll og avvikshåndtering i utviklingen av strategi, virksomhetsplaner og handlingsplaner i HDO. 2 Faktabeskrivelse Bakgrunn Styret behandlet i sak 18-2015 risikohåndtering, intern kontroll og avvik i HDO og fikk framlagt konsept og status per mai 2015. I oppdragsdokumentet til HDO HF 2016 presiseres det at Styret skal sikre at Helsetjenestens driftsorganisasjon for nødnett HF har god internkontroll og systemer for risikostyring for å forebygge, forhindre og avdekke avvik. HDO sine styringssystemer skal tilpasses risiko og vesentlighet i forhold til virksomhetens målsetninger og ha nødvendig ledelsesforankring i organisasjonen. Det forutsettes at styret har en samlet gjennomgang av tilstanden i helseforetaket minimum én gang per år med hensyn til risikovurdering, oppfølging av internkontrollen og tiltak for å følge opp avvik. Det forutsettes at det ved omstilling av virksomheten, herunder innføring av ny teknologi og organisasjonsendringer, må foreligge risikovurderinger for hvilke konsekvenser tiltaket vil ha, også for andre deler av virksomheten og det samlede tjenestetilbudet for kunder og brukere i nødmeldetjenesten. Der det foreligger risiko for uønskede hendelser skal det etableres særlige overvåkingsrutiner og forebyggende tiltak for å redusere risiko. Det forutsettes at Helsetjenestens driftsorganisasjon for nødnett HF har en systematisk oppfølging av rapporter fra offentlige tilsynsmyndigheter, for å sikre at tiltak iverksettes og at organisasjonen kontinuerlig lærer av gjennomførte tilsyn. Det forutsettes at forespørsler fra offentlige tilsynsmyndigheter følges opp og besvares innenfor de fristene som er satt. HDO implementerte i 2014 et tilpasset konsept for Risk Management. Dette konseptet er basert på Nødnett Risk Assessment Framework (RAF) med tilhørende støtte for analyse, rapportering, sporing og kvantifisering av risiko og tiltak. Dette rammeverket benyttes også av de andre aktørene involvert i leveranse og utvikling av nødnett (for eksempel DNK og Motorola/Frequentis).
Risikokonseptet dekker interne og eksterne forhold, herunder teknisk innføring av nødvendig utstyr til kontrollrom og radioterminaler, drift av operatørplasser og radioterminaler, samt operasjonelle og organisatoriske forhold i HDO. Konseptet omfatter: En systematisk prosess for Risk Management Roller og ansvar for Risk Management Verktøy for analyse og kvantifisering av risiko Kunnskaper, ferdigheter og holdninger innen risikobevissthet og Risk Management Retningslinjer for risikorapportering og kommunikasjon HDO legger til grunn at risikostyring, med tilhørende internkontroll og avvikshåndtering skal ivareta følgende målsetninger: Redusere sannsynligheten for, og konsekvens av negative hendelser. Belyse kritiske områder Sørge for at risiko er riktig vurdert, prioritert og forvaltet Sikre at prioriterte risiki har en ansvarlig eier Håndtering av hendelser som kan påvirke Nødnett Gi trygghet for at risiki styres systematisk Oppfylle nødvendige og relevante krav i regelverket Prioritere ressurser til effektiv håndtering av risiki Redusere driftsrelaterte overraskelser og tap Utnytte mulighetene som ligger i å ta proaktive beslutninger Det overordnede ansvaret bæres alltid av styret i Helsetjenestens driftsorganisasjon for Nødnett HF. Administrerende direktør følger opp tiltakene i selskapet, og delegerer til avdelingslederne der dette er hensiktsmessig. Intern har HDO opprettet en funksjon som «Risk Manager» for å følge opp og veilede avdelingsledere og andre involverte, slik at de settes bedre i stand til å vurdere, håndtere og følge opp risiki som avdekkes. HDO har etablert en intern prosess med 5 hovedsteg for å etablere plan for risikohåndtering, identifisere potensielle risikoer, vurdere sannsynlighet og konsekvens, etablere og vedlikeholde risikoregister med tilhørende tiltak, samt kontinuerlig overvåkning og oppfølging av risiko. Alle identifiserte risikoer blir klassifisert gjennom en vurdering av sannsynlighet og konsekvens (alvorlig innvirkning. Kostnader, tidsplan, omfang og / eller overholdelse av krav i SLA blir sterkt berørt).
Status Den samlede risikovurderingen i HDO viser en positiv fallende trend. Pr mai 2016 er det indentifisert 36 risikoer, mot 49 i 2015. Risikoutviklingen i HDO har overordnet en sammenheng med at nødnettprosjektet er nærmere en nasjonal ferdigstillelse enn tidligere, at det er gjennomført en egen ROS analyse på justert teknisk løsning for små kontrollrom som samler nødnettløsning i færre store datasentre istedenfor distribuert ut på hvert enkelt kontrollrom, videre har reimplementering av virksomhetsprosessene i HDO gitt økt innsikt og kompetanse i helheten av de leveranser HDO forestår. Avslutningsvis har også implementeringen av strategien med tilhørende organisasjonsutvikling i HDO avdekket og tydeliggjort styrker og svakheter i organisasjonen. Av de 36 identifiserte risikoene hittil i 2016 er ingen klassifisert som «ekstrem», mens 10 er klassifisert som «høy». Disse 10 risikoene er: 1. Som følge av manglende finansiering av retrofit, blir fase 0 og 1 "hengende" etter i SWoppgraderinger og kan ikke utveksle info med øvrige etater. 2. Legevaktsentraler og akuttmottak i fase 0 og 1 får redusert funksjonalitet og driftsstøtte uten gjennomføring av retrofit. 3. Etatenes systemer kan ikke utveksle data og tale, og samhandlingen fungerer ikke tilfredsstillende uten retrofit. 4. Utydelig eierskap og forvaltning av Nødnett plattformen gir ustabile løsninger 5. Sammenfallende føringstraser for transmisjon (datalinjer) fra leverandør 6. Feil kobling av strømkurser og transmisjonskurser på kontrollrom utført av leverandør, observert under Audit av HDO 7. Ingen metoder og verktøy for gjennomføring av belastningstester fra leverandør 8. Mangelfull SW-management i forbindelse med programvareoppdateringer, foregår som en blanding av manuelle og maskinelle prosesser. 9. Overvåkingsverktøy i HDO er satt opp av èn leverandør, og ikke tilpasset den totale systemporteføljen som overvåkes 10. Nød administrasjonsverktøy - Løsning for fjernpålogging til utstyr i datasentre og AMK sentraler for sentraliserte løsninger (CICCS) når sikre datalinjer (VPN-forbindelse) er nede er ikke redundant satt opp fra leverandør HDO jobber kontinuerlig med å håndtere disse risikoene gjennom identifisere tiltak. Risikoregisteret videreutvikles kontinuerlig og brukes som grunnlag for bla virksomhetsplan for 2016.
3 Administrerende direktørs vurderinger HDO sitt arbeid med risiko, internkontroll og avvikshåndtering har utviklet seg i en positiv retning siden etableringen av HDO i 2013. Det gjenstår fremdeles arbeid med utvikling av HDO sin organisasjon, kompetanse og kapasitet, samt samhandling med eksterne samarbeidspartnere før risikobildet er komplett og godt synkronisert med brukerne av nødnett, og andre aktører involvert i nødnett leveransene. Dette er en utvikling som HDO bare delvis kan kontrollere selv, siden noen av risikoene er avhengig av beslutninger og rammer lagt av andre aktører. HDO må jobbe videre med å tydeliggjøre og forankre risikobildet med eierne, DNK, brukerne og andre aktører, slik at de mest hensiktsmessige tiltakene kan gjennomføres for å redusere risikobildet. Arbeid med risiko, internkontroll og avvikshåndtering krever at HDO videreutvikler kompetanse og ferdigheter innen disse områdene. Dette er tett knyttet opp mot videre utvikling og beslutning om de tjenester HDO skal levere til helsesektoren i framtiden. Med utgangspunkt i det etablerte risikokonseptet kan videre utvikling av avvikshåndtering og internkontroll gjøres, Administrerende direktør vil ta dette med i videre utvikling av HDO og HDO s tjenester. Det etablerte risikoregisteret gir et godt bilde av risikoen for HDO per mai 2016, og bidrar, som ett sentralt ledelsesverktøy, til å legge grunnlaget for utvikling av styring i HDO.