Internrevisjonen Internrevisjonsrapport Helse Møre og Romsdal HF Risikostyring og internkontroll Revisjonen er gjennomført i perioden mars - mai 2015 Stjørdal, 19. juni 2015
1. Innledning INNHOLD 1. Innledning... 2 1.1 Bakgrunn 1.2 Om risikostyring og internkontroll 1.3 Revisjonskriterier 1.4 Omfang og metode 2. Sammendrag..... 6 3. Funn og vurdering pr tema... 8 3.1 Kunnskap om risikostyring og internkontroll 3.2 Organisatoriske forhold 3.3 Identifisere og håndtere risiko 3.4 Oppfølging og forbedring 4. Anbefalinger.. 14 Vedlegg: Resultat spørreundersøkelse Rapportinformasjon 1.1 Bakgrunn Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF (HMN) bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i helseforetakene og det regionale helseforetaket. I tråd med vedtatt aktivitetsplan vil internrevisjonen gjennomføre en revisjon med temaet «Risikostyring og internkontroll i foretaksgruppen». Krav om risikostyring og internkontroll er nedfelt i flere lover, bl.a. arbeidsmiljøloven, helsetilsynsloven, spesialisthelsetjenesteloven og helseregisterloven. Mer detaljerte regler på området er nedfelt i tilhørende forskrifter. I denne revisjonen er det tatt utgangspunkt i forskrift om internkontroll i helseog omsorgstjenesten. Helse- og omsorgsdepartementet (HOD) har fra 2008 og fram til 2014 i sine foretaksmøter med HMN stilt krav om at «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik». Det regionale foretaket har videreført dette kravet i sine foretaksmøter med helseforetakene. Hensynet bak kravet om risikostyring og internkontroll er at foretaksledelsen skal ha et godt verktøy for å sikre størst mulig grad av styring og kontroll med virksomheten. God risikostyring og internkontroll bidrar til måloppnåelse både når det gjelder god pasientbehandling, effektiv drift, riktig rapportering og overholdelse av regelverket. Rapporten er oversendt til: Kons. Adm.direktør Dag Hårstad Styret i HMR v/styrets leder Styrets revisjonsutvalg HMN 2
1.2 Om risikostyring og internkontroll Risikostyring og internkontroll handler i sin enkleste form om å sikre god styring og kontroll, herunder bedre ressursutnyttelse ved at ledelsen bruker tid og ressurser på de viktigste forholdene. Helseforetakene er gjennom lov og forskrift pålagt å etablere systemer for risikostyring og internkontroll Illustrasjon - Sentrale forhold som må være på plass for å sikre god risikostyring og internkontroll Styret har det overordnede ansvaret for å påse at foretaket har betryggende styring og kontroll, herunder at det er etablert forsvarlig risikostyring og internkontroll. Administrerende direktør har det operative ansvaret for å iverksette og operasjonalisere retningslinjer gitt fra styret, samt holde styret løpende orientert om status og utvikling Internkontroll er systematiske tiltak som skal sikre at lover og retningslinjer overholdes, samt gi rimelig sikkerhet for at fastsatte mål oppnås Effektiv internkontroll legger til rette for at oppgaver gjøres riktig første gang. Internkontroll kan på den måten bidra til å forebygge feil og negative hendelser. Samtidig vil internkontroll også bidra til kvalitet, effektivitet og forutsigbarhet. Virksomheter som arbeider systematisk med forbedring i internkontrollen, opplever at internkontrollarbeidet gir viktige bidrag til virksomhetens arbeid med kontinuerlig forbedring Selv med effektiv internkontroll kan det oppstå uheldige situasjoner og feil som følge av menneskelig eller teknisk svikt eller misforståelser, eller som følge av at ansatte bevisst omgår etablerte kontroller. Det å ha et formalisert og velfungerende internkontrollsystem reduserer imidlertid sannsynligheten både for at ubevisste og bevisste feil inntreffer Helhetlig risikostyring er et verktøy for styring som gir grunnlag for å identifisere, vurdere og håndtere potensiell risiko ved hjelp av en strukturert tilnærming. Risikostyring skal bidra til å skape en bedre balanse mellom mål, risiko, styring og kontrolltiltak, og dermed en bedre ressursutnyttelse Risikostyring kan med andre ord ses på som et hjelpemiddel i arbeidet med å løse de styringsmessige utfordringer ledelsen står ovenfor. Den skal bidra til mer målrettet styring, og derfor også enklere styring, ved at ledelsen bruker tid på de viktigste forholdene Som illustrert i figuren til venstre er det en del sentrale forhold som alle må være på plass for å sikre god risikostyring og internkontroll. Dette knytter seg til felles forståelse av målbilde, identifisert risikobilde, forankring, en integrert og strukturert prosess, samt løpende oppfølging og håndtering av risiko 3
1.3 Revisjonskriterier Ved gjennomføring av revisjonen er det primært tatt utgangspunkt i forskrift om internkontroll i helse- og omsorgstjenesten, foretaksprotokoller og god praksis Lovgrunnlag Det er en rekke lover og forskrifter som regulerer området risikostyring og internkontroll. I denne revisjonen har vi funnet det hensiktsmessig å gjøre en avgrensing slik at revisjonskriteriene knyttes opp mot kravene i Forskrift om internkontroll i helse- og omsorgstjenesten (IK-helse). Denne forskriften er hjemlet i Helsetilsynsloven og Spesialisthelsetjenesteloven. Forskriften 4 skisserer innholdet i internkontrollen. Her er det beskrevet åtte punkter som virksomhetsledelsen har ansvar for å sikre («de 8 ledelsesprinsippene»). Styringsdokumenter I foretaksprotokollen 2008 fra Helse- og omsorgsdepartementet (HOD) til HMN er det nedfelt at: «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik. Risikofaktorer som kan medvirke til at målene til det regionale helseforetaket og helseforetaksgruppen ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse skal iverksettes. Styringssystemene skal tilpasses risiko og vesentlighet i forhold til virksomhetens målsetninger og ha nødvendig ledelsesmessig forankring i hele organisasjonen». Tilsvarende krav er gjentatt i alle foretaksprotokoller fram til og med 2014. Det regionale helseforetaket har på sin side videreført kravet til sine underliggende helseforetak. I styringsdokumentet for 2015 har HMN konkretisert en målsetting om at foretaksgruppen i perioden 2015-2017 skal videreutvikle et felles og helhetlig system for risikostyring og internkontroll i regionen. Helse Møre og Romsdal (HMR) har utviklet en del interne styringsdokumenter på området. Disse finnes i form av bl.a. fullmakter, prosedyrer og retningslinjer. 4
1.4 Omfang og metode Områder som omfattes av revisjonen er illustrert i figuren nedenfor. Funn og vurderinger er basert på spørreundersøkelse, intervjuer med utvalgte ledere og dokumentgjennomgang. Vurderingen dekker overordnede forhold (rammeverk), og er gjennomført på ledelsesnivå Revisjonen omfatter ledelsesnivåene i foretakene, og skal gjennomføres i de tre sykehusforetakene i regionen. Som illustrert i figuren til venstre dekker revisjonen følgende 4 hovedtema: Kunnskap om risikostyring og internkontroll på ledelsesnivå, Organisatoriske forhold, Identifisering og håndtering av risiko, samt Oppfølging og forbedringsarbeid Innenfor hvert av hovedtemaene er det definert områder som har dannet grunnlag for spørreundersøkelse, intervju og innhenting av relevant dokumentasjon. Funnene i rapporten er basert på: Spørreundersøkelse som er sendt ut til ledere på ulike ledelsesnivå i alle klinikker, samt utvalgte personer i Stab. Det er mottatt 165 svar, noe som utgjør en svarprosent på ca 70 % Intervjuer og samtaler med totalt 14 personer i ledelsen, herunder administrerende direktør, fagdirektør, kvalitetssjef, 6 klinikksjefer, 3 avdelingsledere og 2 seksjonsledere Gjennomgang av relevante dokumenter innenfor de ulike områdene Revisjonen har fokusert på overordnede forhold (rammeverk) knyttet til risikostyring og internkontroll, og det er ikke foretatt detaljert gjennomgang og vurdering av «godhet» og etterlevelse av enkeltelementene Sentrale funn er presentert og forankret i oppsummeringsmøte med foretaksledelsen. Utkast til rapport er sendt til helseforetaket for faktaverifikasjon før endelig ferdigstillelse 5
Sammendrag 6
2. Sammendrag Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i Helse Møre og Romsdal. Karleggingen viser at det er etablert flere gode enkeltelementer og at flere gode initiativ er iverksatt de siste månedene. Det er imidlertid fortsatt en vei å gå for å få etablert et fungerende og helthetlig rammeverk. Det er behov for å øke ledernes kompetanse og forståelse for risikostyring Overordnet rammeverk Risikostyring og internkontroll er i liten grad diskutert og forankret i foretaksledelsen og i styret. Det er ikke utarbeidet et overordnet styringsdokument eller etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming Kunnskap Ledere har varierende kjennskap til, og kompetanse om risikostyring og internkontroll. Internkontroll vurderes som et mer kjent begrep enn risikostyring. Internkontroll er et begrep som er kjent blant de fleste, mens risikostyring er et mer uklart begrep. Opplæring i risikostyring og internkontroll er i liten grad satt i system. Rundt 50 % av lederne vurderer sin kunnskap om risikostyring og internkontroll som mangelfull Organisatoriske forhold HMR mangler (på revisjonstidspunktet) et overordnet strategidokument. Flere ledere oppfatter foretakets mål og strategier som utydelig. Det er igangsatt flere gode initiativ det siste halve året for å bidra til mer strategiske og helhetlige diskusjoner i ledergruppen, herunder konkretisering av foretakets overordnede mål og strategier Organisering, roller og ansvar vurderes i stor grad som hensiktsmessig og tydelig. Kompetanseplaner er ikke utarbeidet i alle klinikker, men arbeid er igangsatt. Foretaket har utfordringer knyttet til kulturforskjeller, og det er derfor positivt at det er igangsatt prosesser rundt kultur og lederskap Etikk og konsekvenskultur De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. Kun 50 % av lederne mener at uetisk adferd og brudd på retningslinjer/lovkrav får konsekvenser for involverte, uavhengig av deres posisjon foretaket I intervju har flere ledere påpekt at det burde vært en tydeligere konsekvenskultur i foretaket. Dette gjelder både i forhold til håndtering av etiske problemstillinger og pasientbehandling, samt implementering og oppfølging av beslutninger som er fattet i ledelsen og/eller styret Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. Det utarbeides i dag ingen risikovurderinger med utgangspunkt i overordnede mål og strategier, hverken på foretaksnivå eller klinikk/avdelingsnivå. ROS-analyser brukes aktivt ved omstilling, men det er behov for økt forståelse, systematikk og oppfølging Rutiner og retningslinjer, samt oversikt over relevante lover og regler er tilgjengelig for ansatte via kvalitetssystemet EQS Oppfølging og forbedring Det er etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers i foretaket. Det identifiseres i varierende grad trender og utvikling som kan benyttes på tvers i forbedringsarbeidet Kultur for registrering av uønskede hendelser kan fortsatt forbedres og pasienterfaringer bør i større grad brukes aktivt Foretaket gjennomfører revisjoner og ledelses gjennomgang i alle klinikker. Løpende styringsinformasjon bør forbedres 7
3. Sentrale funn og vurdering - pr tema 8
3.1 Kunnskap om risikostyring og internkontroll Ledere i helseforetaket har noe varierende kjennskap til, og kompetanse om risikostyring og internkontroll. Internkontroll er et begrep som er kjent blant de fleste, mens risikostyring er et mer uklart begrep. Opplæring i risikostyring og internkontroll er i liten grad satt i system. Rundt 50 % av lederne vurderer sin kunnskap om risikostyring og internkontroll som mangelfull 20 % 40 % 60 % 80 % 100 % Kunnskap - I spørreundersøkelsen svarer en vesentlig andel, herunder 100 % av avdelingslederne, at internkontroll er et kjent begrep og noe man har et bevisst forhold til i det daglige arbeidet. Risikostyring oppleves som et mer uklart begrep, noe som også underbygges i intervjuer. Flere ledere viser god forståelse for enkeltelementer knyttet til risikostyring. Manglende opplæring, systematikk og helhetsforståelse medfører imidlertid at flere opplever risikostyring som uklart og vanskelig Opplæring I internkontrollforskriftens 4 bokstav c) er det krav om at ansatte i tillegg til å ha tilstrekkelig kunnskap og ferdigheter innenfor aktuelle fagområder, skal ha kunnskap om virksomhetens internkontroll. Opplæring i internkontroll og risikostyring er i liten grad satt i system i foretaket. Ca 65 % av respondentene i spørreundersøkelsen opplever at de ikke har fått tilstrekkelig veiledning og opplæring, og 50 % av lederne opplever at de ikke har tilstrekkelig kunnskap om temaene Risikoforståelse - De fleste lederne mener at de har god forståelse for sentrale risikoer innenfor sine ansvarsområder og at dette danner grunnlag for prioriteringer. Risikoidentifikasjon og vurderinger er i liten grad formalisert og dokumentert Figuren ovenfor viser utvalgte resultater fra spørreundersøkelse sendt til lederne i HMR som en del av prosjektet. Ytterligere informasjon fra spørreundersøkelsen er lagt i vedlegg. Kommentarene til høyre bygger både på resultatene fra spørreundersøkelsen og tilbakemeldinger mottatt i samtaler med et utvalg ledere 9
3.2 Organisatoriske forhold (1:2) HMR manglet på revisjonstidspunktet et overordnet strategidokument, og flere ledere oppfattet foretakets mål og strategier som utydelig. Det er i løpet av det siste halve året igangsatt flere gode initiativ for å bidra til mer strategiske og helhetlige diskusjoner i ledergruppen, herunder konkretisering av foretakets overordnede mål og strategier. Strategi HMN 2020 Styringskrav og rammer for HMR 2015 Retningslinjer for risikostyring og internkontroll - Styret har ikke vedtatt overordnede retningslinjer som definerer roller og ansvar, og som gir overordnede føringer knyttet til risikostyring og internkontroll i foretaket Mål og strategier Det foreligger en overordnet strategi for HMN (strategi 2020). HMR har ikke et overordnet strategidokument for foretaket. Dette har medført at flere ledere har oppfattet foretakets overordnede mål og strategier som utydelig. Mangel på tydelige prioriteringer har skapt utfordringer eksempelvis i budsjettprosesser og bidratt til økt silotankegang. I intervjuer kom det tydelig frem at det de siste månedene har vært mer strategiske og helhetlige diskusjoner i ledergruppen, og det er igangsatt arbeid med utarbeidelse av overordnet strategi. Strategien er planlagt styrebehandlet før sommeren 2015 Klinikkene har i varierende grad utarbeidet og formalisert egne virksomhetsplaner. Dette arbeidet er ikke koordinert på tvers i foretaket Styringskrav og rammer Overordnede styringskrav fra HOD/RHF, herunder kvantitative måltall som ventetid, fristbrudd og økonomi er godt kjent blant lederne. Styringskravene koordineres og følges løpende opp av stabsavdelingen. Status rapporteres tertialvis til ledelsen og styret. Rapportering presenteres overordnet for foretaksledelsen, men det er lite diskusjon i foretaksledelsen før fremleggelse for styret Foretaksledelsen - Det er i ledergruppen satt økt fokus på bedre forberedelse til møter, økt kvalitet i beslutningsgrunnlag, mindre silotankegang og økt ansvarliggjøring. Dette oppleves som positivt av flere av lederne. I intervju ble det blant annet kommentert at : " Vi begynner nå å gå fra å være en gruppe med ledere som møtes til å bli en Ledergruppe" 10
3.2 Organisatoriske forhold (2:2) Organisering, roller og ansvar vurderes i stor grad som hensiktsmessig og tydelig. Kompetanseplaner er ikke utarbeidet i alle klinikker i tråd med foretakets retningslinjer, men arbeid er igangsatt. Foretaket har utfordringer knyttet til kulturforskjeller, og i spørreundersøkelsen er det noe varierende score på spørsmål rundt etikk og konsekvenskultur. Det er igangsatt prosesser rundt kultur og lederskap noe som vurderes som positivt Organisering - det foreligger tydelige og ajourførte organisasjonskart som viser hvordan foretaket er organisert, og hvordan ansvar og myndighet er fordelt Roller og ansvar vurderes i stor grad som hensiktsmessig og tydelig og er formalisert gjennom funksjonsbeskrivelser, stillingsbeskrivelser og fullmakts beskrivelser. Flere ledere etterlyser formalisering av stillingsbeskrivelser på tvers av foretaket (eks for seksjonsleder, sykepleier). De fleste klinikklederne har lederavtale. Ikke alle har oppdatert avtale som følge av lederskifte Kompetanse Klinikkene har i varierende grad utarbeidet og ferdigstilt kompetanseplaner, men de fleste har igangsatt arbeidet. Foretakets retningslinjer og mal for kompetanseplan oppleves som kompleks. Flere klinikker og avdelinger har derfor modifisert og utarbeidet forenklede planer, noe som medfører ulike varianter av kompetanseplanene Etikk - De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen. Etiske retningslinjer et utarbeidet, men er i varierende grad kjent blant lederne. Kun 50 % av lederne mener at uetisk adferd og brudd på retningslinjer/lovkrav får konsekvenser for involverte, uavhengig av deres posisjon i foretaket Årlig seminar som arrangeres i regi av etisk komite oppleves som nyttig og får positive tilbakemeldinger fra flere ledere Konsekvenskultur - I intervju har flere ledere påpekt at det burde vært en tydeligere konsekvenskultur i foretaket. Dette gjelder både i forhold til håndtering av etiske problemstillinger og pasientbehandling, samt implementering og oppfølging av beslutninger som er fattet i ledelsen og/eller styret Foretaket har en egen kompetanse og opplæringsportal. Portalen er oversiktlig, og inkluderer generelle tema som eksempelvis brann, beredskap, HMS, smittevern og IKT, samt avdelingsvis/klinikkvis kompetanse- og opplæringsplaner. Det er etablert oversikter og sjekklister som viser hva ansatte skal gjennom både ved nyansettelse og ved vedlikehold av kompetanse. Ikke alle klinikker har en systematisk oversikt/dokumentasjon på hva ansatte faktisk har gjennomført av opplæring/sertifisering I spørreundersøkelsen er det noe varierende score på spørsmål rundt samhandling og etikk: Kultur - Inntrykket etter revisjonen er at foretaket har utfordringer som følge av store kulturforskjeller. Dette medfører blant annet utfordringer med å tenke foretaket som helhet og få alle til å dra i felles retning. Kun 1/3 av lederne som deltok i spørreundersøkelsen opplever at det er god samhandling mellom ulike avdelinger i foretaket når det gjelder pasientbehandling. Det er igangsatt prosesser rundt kultur og lederskap, noe som vurderes som positivt 11
3.3 Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. Det utarbeides i dag ingen risikovurderinger med utgangspunkt i overordnede mål og strategier, hverken på foretaksnivå eller klinikk/avdelings-nivå. ROS-analyser brukes aktivt ved omstilling, men det er behov for økt forståelse og systematikk ved gjennomføring og oppfølging Identifikasjon og vurdering av risiko - Styret har ikke periodisk blitt forelagt en overordnet risikovurdering for HMR, dvs en risikovurdering som viser hva som er de (for eksempel 10-15) mest sentrale risikoene som kan hindre måloppnåelse. På revisjonstidspunktet ble internrevisjonen informert om at det var igangsatt arbeid med utarbeidelse av en overordnet risikovurdering, og at denne ville bli forelagt styret i løpet av kort tid Inntrykk gjennom intervjuer er at lederne er bevisst sentrale risikoer innenfor sitt ansvarsområde, men at det er behov for mer systematikk/ rammeverk for å ha et tydelig risikobilde som løpende følges opp og danner grunnlag for iverksettelse av tiltak Det er etablert maler og rammeverk for gjennomføring av ROS-analyser (risiko- og sårbarhetsvurderinger). ROS-analyser brukes som et aktivt hjelpemiddel ved omstilling for å få belyst risikobilde. Det er imidlertid ulik praksis på om ROS-analyser gjennomføres i forkant eller i etterkant av en beslutning. Det er lite fokus på deling av informasjon/læring på tvers fra gjennomførte analyser. Risikoforståelse og systemet rundt oppfølging av gjennomførte ROS-analyser bør forbedres Rutiner og retningslinjer - Det er utarbeidet en rekke rutiner og retningslinjer på foretaksnivå som løpende ajourføres, og som er tilgjengelig for ansatte via EQS (kvalitetssystem). Det er gjennomført et betydelig arbeid med å standardisere prosedyrer og retningslinjer, samt forbedre virksomhetsportalen. Fortsatt er det noe gjenstående arbeid. Over 60 % av lederne opplever det som noe utfordrende å navigere og finne relevant informasjon i virksomhetsportalen Lover og regler Ansatte har god tilgang til relevante lover og regler som regulerer virksomheten. Dette er tilrettelagt i EQS både på foretaksnivå og mer spesifikt innenfor ulike enheter. Det er ingen koordinert prosess på tvers av foretaket for å identifisere, vurdere og implementere nye/endrede lovkrav 12
3.4 Oppfølging og forbedring Det er etablert flere gode strukturer og arenaer for å bidra til kvalitetsforbedring og læring på tvers i foretaket, eksempelvis kvalitetsråd, KPU, kvalitetsrådgivernettverk, publisering av læringshistorier, gjennomføring av revisjoner og ledelses gjennomgang. Kultur for registrering av uønskede hendelser kan fortsatt forbedres og pasienterfaringer bør i større grad brukes aktivt inn i forbedringsarbeidet. Løpende styringsinformasjon bør forbedres Uønskede hendelser (rammeverk) Rutiner og retningslinjer for uønskede hendelser er etablert. Systemet for registrering av hendelser er lett tilgjengelig for alle ansatte i EQS, og det er utarbeidet enkelte dokumenter og veiledere for melding av avvik Uønskede hendelser (registrering) - Alle respondenter i undersøkelsen bekrefter at rapportering av uønskede hendelser er viktig for å lære av feil. Meldekulturen i foretaket er forbedret, og rapportering av uønskede hendelser er økende. Flere kommenterer imidlertid at det fortsatt er underrapportering av hendelser og behov for å styrke meldekulturen. Dette gjelder spesielt i enkelte avdelinger og blant enkelte faggrupper (eksempelvis leger og poliklinikker) Kvalitetsråd Uønskede hendelser, samt resultater fra revisjoner, pasientklager etc, diskuteres løpende i kvalitetsråd som er etablert på ulike nivå i foretaket. Dette oppleves som positivt og bidrar til kvalitetsforbedring. Kvalitetsrådene behandler sak for sak, og gjør i varierende grad samlet vurdering av hendelser for å identifisere trender og utvikling til bruk i forbedringsarbeid Kvalitets- og pasientsikkerhetsutvalg (KPU) I tråd med lovkrav er det etablert et kvalitets- og pasientsikkerhetsutvalg. KPU har i henhold til mandat et overordnet ansvar for å koordinere og initiere kvalitetsforbedrende tiltak og prosjekter på tvers i foretaket Læringshistorier Informasjon om uønskede hendelser (dvs hendelser som har ført til og kunne ført til personskader) offentliggjøres i anonymisert form på foretakets hjemmeside Pasienterfaringer Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet. Enkelte gode initiativ er iverksatt, eksempelvis i Barne- og familieklinikken Revisjon - Det er etablert en hensiktsmessig ordning med gjennomføring av egne revisjoner i de ulike klinikkene. Dette oppleves som et viktig bidrag til kvalitetsforbedring. Hvert år utarbeides en revisjonsplan som konkretiserer hvilke prosjekter som skal gjennomføres. Klinikkene beslutter selv hvilke revisjoner de ønsker å gjennomføre, men det er krav om at det hvert år velges ut minimum ett emne fra den overordnede revisjonsplanen som er definert av fagavdelingen. Fagavdelingen bidrar med opplæring og veiledning Styringsinformasjon - Lederne etterlyser bedre og mer tilgjengelig styringsinformasjon. I dag fremgår styringsinformasjon fra flere ulike kilder, det er mye historisk informasjon og lite framoverskuende analyser. Dette bidrar til mye manuelt arbeid for å få fremstilt hensiktsmessig styringsinformasjon. Lederne er positive til igangsatt arbeid med etablering av felles dashbord Ledelsens gjennomgang Det er i tråd med kravene i internkontrollforskriften definert retningslinjer for periodisk oppfølging og evaluering av etablert internkontroll (gjennomføring av ledelsens gjennomgang). Ledelsens gjennomgang gjennomføres på ulike nivå i foretaket. Gjennomgangen oppleves jevnt over som nyttig og bidrar til gode diskusjoner. På foretaksnivå ble ledelsens gjennomgang første gang gjennomført i 2014, og er fortsatt under utvikling. Så langt er ikke resultatet fra ledelsens gjennomgang rapportert til styret 13
Anbefalinger 14
4. Anbefalinger (1:4) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Kunnskap om risikostyring og internkontroll (Kultur og kompetanse) Det har tidligere ikke vært tilstrekkelig fokus på risikostyring og internkontroll i foretaksledelsen. Dette har blant annet sammenheng med manglende helhetlig rammeverk, mangelfull/variabel kompetanse, samt manglende etterspørsel fra styre og eier. Lederne har varierende kjennskap til, og kompetanse om risikostyring og internkontroll, og opplæring er mangelfull og i liten grad satt i system. I intervju har flere ledere påpekt at det burde vært en tydeligere konsekvenskultur i foretaket. Dette gjelder både i forhold til håndtering av etiske problemstillinger og pasientbehandling, samt implementering og oppfølging av beslutninger som er fattet i ledelsen og/eller styret. Økt fokus Det er behov for økt bevisstgjøring og økt ledelsesfokus knyttet til risikostyring og internkontroll, herunder tydeliggjøre krav og forventinger til lederne. Dette bør inkluderes som en del av lederutviklingen Opplæring - Lederne bør gis innføring i risikostyring og internkontroll slik at de har tilstrekkelig forståelse, et felles utgangspunkt og felles begrepsapparat. Ut fra definerte krav og forventinger til lederne bør det gjennomføres en kartlegging av ledernes behov for opplæring. Det bør videre vurderes å koordinere opplæringstiltak på tvers av helseforetakene i regionen Årshjul - Det bør etableres et årshjul for risikostyring og internkontroll som sikrer at temaer som risikovurdering, uønskede hendelser, ledelsens gjennomgang osv. systematisk behandles i foretaksledelsen Konsekvenskultur Det bør kommuniseres tydelige krav til lederne om etterlevelse av fastsatte rutiner og retningslinjer, etiske retningslinjer, samt gjennomføring av beslutninger fattet av styret og ledelsen. Fastsatte krav og forventinger bør følges opp på en systematisk måte. Det må etableres en felles forståelse for konsekvenser ved manglende etterlevelse og gjennomføring. 15
4. Anbefalinger (2:4) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Organisatoriske forhold Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i Helse Møre og Romsdal. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming. Risikostyring og internkontroll er i liten grad diskutert og forankret i styret, og styret har ikke vedtatt et overordnet styringsdokument. Overordnede retningslinjer - Det bør utarbeides overordnede retningslinjer for risikostyring og internkontroll som diskuteres og forankres i styret. Retningslinjene skal gi føringer for foretakets overordnede holdninger og sikre at det etableres og vedlikeholdes en effektiv risikostyringsprosess på tvers av klinikker og enheter som er tilpasset foretakets art, størrelse og kompleksitet. I dette arbeidet bør det være en dialog opp mot det regionale foretaket for å bidra til en enhetlig praksis på tvers av helseforetakene. På revisjonstidspunktet manglet foretaket et overordnet strategidokument. Mangel på tydelige prioriteringer har skapt utfordringer eksempelvis i budsjettprosesser, samt bidratt til økt silotankegang. Internrevisjonen er informert om at HMR har igangsatt prosess rundt etablering av overordnet mål og strategier som skal legges frem for styret i juni 2015 Enkelte klinikker har utarbeidet egne virksomhetsplaner. Overordnede mål og prioriteringer Igangsatt strategiarbeid bør ferdigstilles og kommuniseres ut i foretaket. Det bør tydelig defineres noen strategiske prioriteringer på tvers av klinikkene for å bidra til økt samhandling og helhetstenking i foretaket. Sammenheng mellom årlige styringskrav og foretakets mål og strategier bør synliggjøres. Virksomhetsplaner på klinikknivå bør utarbeides/revideres for å sikre at disse er i tråd med overordnede strategiske prioriteringer. 16
4. Anbefalinger (3:4) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. På revisjonstidspunktet var det ikke utarbeidet noen overordnet risikovurdering,hverken på foretaksnivå eller klinikk/avdelingsnivå med utgangspunkt i foretakets mål og strategier Det er etablert maler og rammeverk for gjennomføring av ROS-analyser, men det er et fåtall personer som har tilstrekkelig kompetanse til å fasilitere gjennomføring av ROS-analyser. Dette medfører avhengighet av nøkkelpersoner, eller at analyser ikke gjennomføres med tilstrekkelig kvalitet. Det foretas ikke noe systematisk oppfølging og rapportering i etterkant av gjennomførte ROSanalyser. Dette medfører en risiko for at identifiserte risikoreduserende tiltak ikke blir implementert/gjennomført som planlagt Identifikasjon og vurdering av risiko Det bør etableres et system for identifikasjon av sentrale risikoer i foretaket. Basert på identifiserte risikoer bør det gjennomføres en overordnet risikovurdering (risikoworkshop) på ledelsesnivå minimum årlig. Identifikasjon og vurdering av risiko bør ta utgangspunkt i foretakets overordnede mål (hensyntatt styringsmål og krav). For sentrale risikoer bør det defineres risikoeiere som har ansvar for løpende oppfølging av tiltak og rapportering på status. Risikoforståelse og kompetanse knyttet til gjennomføring av ROS-analyser, samt systemet rundt oppfølging av gjennomførte ROS-analyser bør forbedres 17
4. Anbefalinger (4:4) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Oppfølging og forbedring Styringsinformasjon Uønskede hendelser Meldekulturen i foretaket er forbedret, og rapportering av uønskede hendelser er økende. Flere kommenterer imidlertid at det fortsatt er underrapportering av hendelser og behov for å styrke meldekulturen. Dette gjelder spesielt i enkelte avdelinger og blant enkelte faggrupper (eksempelvis leger og poliklinikker) Pasienterfaringer - Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet. Lederne etterlyser bedre og mer tilgjengelig styringsinformasjon. I dag fremgår styringsinformasjon fra flere ulike kilder, det er mye historisk informasjon og lite framoverskuende analyser. Dette bidrar til mye manuelt arbeid for å få fremstilt hensiktsmessig styringsinformasjon. Meldekultur - For å sikre en god meldekultur og bidra til kontinuerlig forbedring er det viktig å ha fokus på system og forbedringsområder og ikke på person. Det er viktig at det i alle klinikker oppfordres til, og at det løpende følges opp, at alle hendelser blir registrert. Selv om enkelthendelser diskuteres løpende når de oppstår, er det viktig at hendelsene også registreres. Dette for at å kunne lære av feil på tvers, samt for å få et helhetlig bilde av hendelser som grunnlag for iverksetting av tiltak. Det bør sikres at alle ansatte har tilstrekkelig kunnskap og trygghet rundt hvordan en hendelse skal registreres. Ofte kan det være en «terskel» å foreta den første registreringen. I en av klinikkene ble det opplyst at det var gjennomført en analyse som konkluderte med at hadde du først registrert en hendelse var det større sannsynlighet for at du registrerer flere. Pasienterfaringer Det bør etableres et system for systematisk innhenting og bruk av pasienterfaringer i forbedringsarbeidet. Foretaket bør forbedre kvaliteten og tilgjengeligheten av styringsinformasjonen og gjøre denne bedre tilgjengelig. 18
Vedlegg Resultater fra spørreundersøkelse
Overordnet score pr klinikk I starten av prosjektet ble det sendt ut en spørreundersøkelse til ledere på ulike nivå i HMR 1 for å gjøre en innledende kartlegging knyttet til risikostyring og internkontroll opp mot god praksis. Det ble totalt mottatt 165 tilbakemeldinger. Som illustrert nedenfor scorer 2 klinikkene noe ulikt innenfor de ulike hovedtemaene. Det er benyttet en skala fra 1-5, der 1 er helt uenig og 5 er helt enig i påstander som er definert ut fra god praksis. I figuren starter skala på 3,5 1 Totalt 258 ledere mottok undersøkelsen, herunder adm.dir, Fagavdelingen, klinikksjefer, avdelingsleder og seksjonsledere 2 Snitt score for alle respondenter på alle spørsmål innenfor de aktuelle hovedområdene Oppsummering med resultater pr klinikk er utarbeidet og oversendt til de ulike klinikkene
Organisatoriske forhold Utvalgte resultater
Utvalgte resultater identifiser og håndtere risiko
Utvalgte resultater Oppfølging og forbedring
Internrevisjonen Om internrevisjonen i Helse Midt-Norge Internrevisjonen er organisert under styret i Helse Midt-Norge RHF og rapporterer funksjonelt til styrets revisjonsutvalg og administrativt til administrerende direktør i det regionale helseforetaket. Internrevisjonen ble etablert i 2005, og er fra 1.1.2013 hjemlet i Lov om helseforetak 37a. Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i det regionale helseforetaket og helseforetakene i regionen. Om revisjonsprosjektet: Revisjonsperiode: Mars - Mai 2015 Virksomhet: Helse Møre og Romsdal Oppdragsgiver: Styret i Helse Midt-Norge RHF Prosjektet er gjennomført i samarbeid med EY (Ernst & Young) Revisorer: Ellinor Wessel Pettersen (Internrevisjonssjef HMN) Per-Ove Godø (Internrevisor HMN) Tove Albrektsen (Prosjektleder EY) Kontaktpersoner: Internrevisjonen: Internrevisjonssjef Ellinor Wessel Pettersen Helse Møre og Romsdal HF: Kvalitetssjef Vidar Hagerup