NOTAT Til: Møtedato: 13.12.07 Universitetsstyret Arkivref.: 200706432-1 Risikostyring ved Universitetet i Tromsø Bakgrunn Som statlig forvaltningsorgan er Universitetet i Tromsø underlagt Økonomiregelverket for staten. Økonomiregelverket stiller krav om at institusjonene skal ha et virksomhetsstyringssystem basert på prinsippene for mål- og resultatstyring i staten. Denne type virksomhetsstyring innebærer at institusjonene må: Fastsette mål- og resultatkrav innenfor rammen av disponible ressurser og forutsetninger gitt av overordnet myndighet. Fastsette og gjennomføre planer og tiltak for å nå målene og resultatkravene Rapportere om oppnådde mål og resultater, og vurdere avvik. Klargjøre ansvars- og oppgavefordeling mellom ulike styringsorganer og ledere Det forutsettes videre i Økonomiregelverket at styring, oppfølging, kontroll og forvaltning av virksomheten skal tilpasses institusjonens egenart samt risiko og vesentlighet. Disse gjennomgående kravene i Økonomiregelverket forutsetter at vurdering av risiko og vesentlighet skal ligge til grunn for å utforme det samlede styrings- og kontrollopplegget til virksomheten. Dette innebærer at risikostyring skal inngå som et element i den samlede virksomhetsstyring ved institusjonen. Det er i henhold til Økonomiregelverket institusjonens ledelse (det vil i siste instans si styret) som har ansvar for at virksomhetsstyringen, herunder risikostyringen, gjennomføres som forutsatt i regelverket. I det reviderte Økonomiregelverket som ble gjort gjeldende fra 2004, ble risikostyring introdusert som begrep. I forhold til tidligere ble det i det reviderte regelverket stilt færre absolutte prosedyrekrav til hvordan økonomiforvaltningen og virksomhetsstyringen skulle gjennomføres. Virksomhetene fikk altså noe større frihet til selve å velge systemer, rutiner og kontrollordninger for økonomiforvaltning og virksomhetsstyring. Men det ble på den annen side stilt krav om en mer systematisk måte å vurdere og håndtere risiko på. UNIVERSITETSDIREKTØREN Personal- og økonomiavdelinga
Virksomhetsstyring ved UiT Bakgrunn I 2004 gjennomførte Riksrevisjonen en forvaltningsrevisjon (Dokument nr 3:3, 2004-2005) ved universitetene hvor virksomhetsstyringssystemene ved institusjonene ble vurdert i forhold til kravene i Økonomiregleverket. Det ble den gang konkludert med at alle institusjonene hadde vesentlige mangler i virksomhetsstyringen. Risikostyringen ved institusjonene ble ikke evaluert den gang, fordi den nettopp var introdusert i det reviderte Økonomiregelverket og det var ikke forventet at den allerede var implementert ved institusjonene. Riksrevisjonen mente at universitetene særlig hadde følgende forbedringspunkter: Klargjøre ansvars- og myndighetsforhold for ledere Tydeliggjøre mål- og resultatkrav for fakulteter og institutter både kvantitative og kvalitative Utvikle operative og hensiktsmessige styringsdokumenter internt ved institusjonen. Utvikling av helhetlig system for oppfølging av resultater i forhold til mål Større grad av skriftlig dokumentasjon av styringsprosesser På bakgrunn av rapporten fra Riksrevisjonen har det ved UiT vært satt i verk tiltak med sikte på å få plass de nødvendige elementene i virksomhetsstyringen. Følgende er gjort: Det er fastsatt instrukser for ledere og styringsorganer ved UiT, der ansvar, myndighet og oppgaver klargjøres. Det fastsettes nå årlig kvantitative mål (måltall) for fakultetene/enhetene, i tillegg til kvalitative mål/tiltak (styringssignaler). Dette gjelder måltall for uteksaminerte doktorgradskandidater og antall avlagte studiepoeng per studieprogram. Det arbeides også med å fastsette måltall for publiseringspoeng. Det stilles nå krav om at både fakulteter og institutter skal utarbeide årsplaner med bestemte krav til innhold (fastsatt i Hovedreglene for økonomistyring ved UiT). Det kreves nå at fakultetene/enhetene årlig rapporterer skriftlig på måltall og styringssignaler som fastsettes av styret i Utdanningsmeldinga og Forskningsmeldinga. Styringsdialogmøtene (som avholdes i november hvert år) mellom universitetsledelsen og ledelsen ved fakultetene/enhetene, er nå mer formalisert og har større fokus på den samlede virksomheten enn tidligere. Tabellen under angir de sentrale aktiviteter i virksomhetsstyringen ved Universitetet i dag. Både internt og overfor Kunnskapsdepartementet (KD). side 2
Hoved aktivitet Delaktivitet Dokument Tidsfrister/ tidspunkt Styrings prosess Fastsettelse av mål- og resultatkrav Planer og budsjetter Rapportering Styringsdialog Sektorpolitiske hovedmål og delmål Langsiktige mål 2010- for UiT Resultatmål - måltall Måltall doktorgradskandidater per fakultet/enh Måltall avlagte studiepoeng per studieprogram/fakultet Styringssignaler (mål/tiltak) per fakultet/enh St.prp.nr.1/Tildelings UiT-KD brev fra KD Strategiplanen 2006- Fastsatt i november Intern UiT 2010-styret 2006 Rapport og planer Årlig/mars UiT-KD (eget dok)-styret Egen styresak Årlig/november Intern UiT Egen styresak Årlig/november Intern UiT Utdanningsmelding, Forskningsmeldinga - styresaker Årlig/desember Intern UiT Intern budsjettfordeling Egen styresak Årlig/desember Intern UiT Årsplaner til fakultetene/enhetene Eget dokumentfak.styret Årlig/mars Intern UiT Budsjettforslag til KD Eget dokument-styret Årlig/desember UiT-KD Rapportering på måltall, Eget dokumentfak.styret Årlig/november Intern UiT styringssignaler og budsjett. Årsrapportering til KD Rapport og planer Årlig/ mars UiT-KD (eget dok.) -styret Intern styringsdialog Årlig/november Intern UiT Etatsstyringsmøte med KD Årlig/våren UiT-KD Etter universitetsdirektørens vurdering er selve systemet for virksomhetsstyring, med unntak av risikostyringsdelen, i samsvar med de krav som stilles. Imidlertid vil det fortsatt måtte arbeides ved fakultetene/enhetene for å implementere systemet på en hensiktsmessig måte. Dette gjelder blant annet utarbeidelse av årsplaner på fakultets- og instituttnivå. Vedlagt følger aktivitets- og styringskalender for 2007 som viser sentrale elementer i virksomhetsstyringen ved UiT. Både ved revisjonen av årsregnskapet for 2005 og 2006 kommenterte Riksrevisjonen at Universitetet, i likhet med de øvrige universitetene og høgskolene, ikke hadde implementert et system for risikostyring som del av virksomhetsstyringen. I 2006 utarbeidet Senter for statlig økonomistyring (SSØ) et metodehefte for risikostyring for statlige virksomheter, mens Kunnskapsdepartementet samme høst holdt seminar i risikostyring tilpasset UH-sektoren. I tildelingsbrevet for 2007 omtaler også departementet risikostyring og ber om dette følges opp ved Universitetet. Risikostyring Formål og definisjon Formålet med risikostyring er å øke sannsynligheten for måloppnåelse gjennom bedre kvalitet på styringen og større oppmerksomhet og bevissthet knyttet til de kritiske suksessfaktorer for måloppnåelse. Kritiske suksessfaktorer vil ofte være det samme som risikoen, men med motsatt fortegn. side 3
Risikostyring defineres slik av SSØ: Risikostyring og intern kontroll er en prosess integrert i mål- og resultatstyringen som er utformet for å kunne identifisere, vurdere, håndtere og følge opp risiko slik at denne er innenfor akseptert nivå. Virksomhetens ledelse har ansvar for at prosessen gjennomføres av virksomheten og anvendes i fastsettelse av strategi og planer og på tvers av virksomheten for å gi rimelig grad av sikkerhet for virksomhetens oppnåelse av sine målsettinger. Risiko og risikoanalyse sentrale begreper Risiko defineres slik av SSØ: Forhold eller hendelser som kan inntreffe og påvirke oppnåelse av målsettinger: En risiko skal vurderes i forhold til sannsynligheten for at den inntreffer, og den forventede konsekvensen for den aktuelle målsettingen dersom den inntreffer. Graden av risiko vurderes ut fra resultatet av disse vurderingene. Med risikotoleranse menes et akseptert nivå for risiko for ikke å nå den enkelte målsetting. Når risikoen ligger utenfor risikotoleransegrensen, er det behov for å iverksette tiltak eller kontrollaktiviteter for å redusere risikoen til et akseptabelt nivå. Eventuelle tiltak må vurderes ut fra en kost-nytte vurdering. Risikostyringsprosessen består av følgende elementer: Identifisere mål for virksomheten Identifisere forhold/hendelser (risikoer) som kan true måloppnåelse (risikofaktorer) Vurdere disse risikoene (forholdene/hendelsene) med hensyn til sannsynlighet for at de inntreffer og konsekvensen for målet dersom de inntreffer. Vurdere og håndtere risikoene, herunder vurdere hvorvidt risikonivået ligger innenfor eller utenfor toleransegrensen (akseptabel risiko). Eventuelt iverksette og følge opp tiltak for å redusere risikoen til et akseptabelt nivå. Iverksetting av eventuelle tiltak skal baseres på en kost- nytte vurdering. Risikostyring er ikke noen nytt styringsverktøy. Universitetet og andre virksomheter har i praksis alltid drevet med risikostyring i den forstand at man har vurdert hvilke faktorer som er avgjørende for måloppnåelse og iverksatt tiltak for fremme slik måloppnåelse. Det nye med risikostyringssystemet som nå introduseres, er den helhetlige og systematiske tilnærmingen det legges opp til, samt et klarere begrepsapparat. Kategorier av målsettinger Økonomiregelverket i staten angir tre kategorier av målsettinger:. Mål- og resultatkrav fastsatt av overordnet myndighet og virksomheten selv (virksomhetsmål) Pålitelig regnskapsføring og økonomiforvaltning Overholdelse av lover og regler. Målsettingen skal oppnås innenfor tildelte ressursrammer og det er styret som øverste styringsorgan som er ansvarlig for at målene nås og risikostyring gjennomføres.. Risikostyring ved UiT Universitetsdirektøren legger opp til en integrasjon av risikostyring i det eksisterende virksomhetsstyringssystemet ved UiT. I Utdanningsmeldinga og Forskningsmeldinga som normalt legges frem for styret i desember hvert år, beskrives og analyseres den faglige virksomheten med side 4
bakgrunn i ulike målsettinger fastsatt av styret. Videre fastsettes det her tiltak (styringssignaler) for å bidra til oppnåelse av målene. Risikostyring forutsetter at tiltak som iverksettes er vurdert med bakgrunn i en risikoanalyse, slik at man sikrer at oppmerksomheten og ressursbruk rettes mot de mest sentrale faktorene for måloppnåelse. For Universitetet i Tromsø er det derfor naturlig å integrere risikoanalysen i Utdanningsmeldinga og Forskningsmeldinga, da disse allerede inngår som en sentral del av virksomhetsstyringen ved Universitetet. Det vises til egne styresaker om Utdanningsmeldinga og Forskningsmeldinga i møte 13.desember i år der risikoanalyser inngår. Når det gjelder risikoanalyser knyttet til de andre målkategoriene, det vil si regnskapsføring/økonomiforvaltning og overholdelse av lover og regler for øvrig, legges det opp til at slike risikoanalyser foretas internt i administrasjonen innenfor ulike forvaltningsområder, og forelegges universitetsdirektøren. I den grad det fremkommer vesentlige risikoforhold knyttet de forvaltningsoppgavene, skal styret orienteres. Styret er i siste instans ansvarlig for at forvaltningsoppgavene til Universitetet ivaretas innenfor gjeldende lover, regler og rammer. I tillegg til å vurdere risikofaktorer og mulige tiltak i tilknytning til allerede fastsatte mål, forutsetter et risikostyringssystem at det i ved fastsetting av nye langsiktige mål og strategier foretas risikoanalyse, og at det samtidig tas stilling til hvilke tiltak og kontrollaktiviteter som må iverksettes for å sikre eller sannsynliggjøre måloppnåelse. Videre vil det måtte gjøres risikoanalyser i enkeltsaker/prosjekter med vesentlige økonomiske konsekvenser. Tabellen under viser for hvilket styringsorgan/ledelse risikoanalysene skal legges frem for. Risikoanalyser Målkategori Legges frem for: Dokument Mål- og resultatkrav fastsatt av overordnet myndighet og virksomheten selv (faglige Universitetsstyret Årlig i Utdanningsmeldinga og Forskningsmeldinga og strategiske mål) Pålitelige regnskapsrapportering og Universitetsdirektøren Eget dokument årlig økonomiforvaltning Overholdelse av øvrige lover og regler Universitetsdirektøren Eget dokument årlig Universitetsdirektøren betrakter arbeidet med virksomhetsstyring, herunder risikostyring, som en utviklingsprosess. Det vil si at det må arbeides kontinuerlig med å videreutvikle og forbedre dette plan- og styringssystemet med bakgrunn i de erfaringene som gjøres underveis. Målet er at systemet skal oppleves som et nyttig plan- og styringsredskap for ledelse og styringsorganer internt ved Universitetet, og ikke kun som et pålegg fra sentrale myndigheter som må etterleves. Etter universitetsdirektørens syn vil opplegget for virksomhetsstyring, herunder risikostyring, være i samsvar med kravene i Økonomiregelverket dersom det implementeres som forutsatt. Tromsø, 6.12.2007 Lasse Lønnum universitetsdirektør Odd Arne Paulsen personal- og økonomidirektør Vedlegg: Virksomhetsstyring aktivitets- og styringskalender 2007 side 5
side 6