Internrevisjonen Internrevisjonsrapport Helse Nord-Trøndelag HF Risikostyring og internkontroll Stjørdal, 12. mars 2015
1. Innledning INNHOLD 1. Innledning... 2 1.1 Bakgrunn 1.2 Om risikostyring og internkontroll 1.3 Revisjonskriterier 1.4 Omfang og metode 2. Sammendrag..... 6 3. Funn og vurdering pr tema... 8 3.1 Kunnskap om risikostyring og internkontroll 3.2 Organisatoriske forhold 3.3 Identifisere og håndtere risiko 3.4 Oppfølging og forbedring 4. Anbefalinger.. 14 Vedlegg: Resultat spørreundersøkelse Rapportinformasjon 1.1 Bakgrunn Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF (HMN) bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i helseforetakene og det regionale helseforetaket. I tråd med vedtatt aktivitetsplan vil internrevisjonen gjennomføre en revisjon med temaet «Risikostyring og internkontroll i foretaksgruppen». Krav om risikostyring og internkontroll er nedfelt i flere lover, bl.a. arbeidsmiljøloven, helsetilsynsloven, spesialisthelsetjenesteloven og helseregisterloven. Mer detaljerte regler på området er nedfelt i tilhørende forskrifter. I denne revisjonen er det tatt utgangspunkt i forskrift om internkontroll i helseog omsorgstjenesten. Helse- og omsorgsdepartementet (HOD) har fra 2008 og fram til 2014 i sine foretaksmøter med HMN stilt krav om at «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik». Det regionale foretaket har videreført dette kravet i sine foretaksmøter med helseforetakene. Hensynet bak kravet om risikostyring og internkontroll er at foretaksledelsen skal ha et godt verktøy for å sikre størst mulig grad av styring og kontroll med virksomheten. God risikostyring og internkontroll bidrar til måloppnåelse både når det gjelder god pasientbehandling, effektiv drift, riktig rapportering og overholdelse av regelverket. Rapporten er oversendt til: Adm.direktør Arne Flaat Styret i HNT v/styrets leder Styrets revisjonsutvalg HMN 2
1.2 Om risikostyring og internkontroll Risikostyring og internkontroll handler i sin enkleste form om å sikre god styring og kontroll, herunder bedre ressursutnyttelse ved at ledelsen bruker tid og ressurser på de viktigste forholdene. Helseforetakene er gjennom lov og forskrift pålagt å etablere systemer for risikostyring og internkontroll Illustrasjon - Sentrale forhold som må være på plass for å sikre god risikostyring og internkontroll Styret har det overordnede ansvaret for å påse at foretaket har betryggende styring og kontroll, herunder at det er etablert forsvarlig risikostyring og internkontroll. Administrerende direktør har det operative ansvaret for å iverksette og operasjonalisere retningslinjer gitt fra styret, samt holde styret løpende orientert om status og utvikling Internkontroll er systematiske tiltak som skal sikre at lover og retningslinjer overholdes, samt gi rimelig sikkerhet for at fastsatte mål oppnås Effektiv internkontroll legger til rette for at oppgaver gjøres riktig første gang. Internkontroll kan på den måten bidra til å forebygge feil og negative hendelser. Samtidig vil internkontroll også bidra til kvalitet, effektivitet og forutsigbarhet. Virksomheter som arbeider systematisk med forbedring i internkontrollen, opplever at internkontrollarbeidet gir viktige bidrag til virksomhetens arbeid med kontinuerlig forbedring Selv med effektiv internkontroll kan det oppstå uheldige situasjoner og feil som følge av menneskelig eller teknisk svikt eller misforståelser, eller som følge av at ansatte bevisst omgår etablerte kontroller. Det å ha et formalisert og velfungerende internkontrollsystem reduserer imidlertid sannsynligheten både for at ubevisste og bevisste feil inntreffer Helhetlig risikostyring er et verktøy for styring som gir grunnlag for å identifisere, vurdere og håndtere potensiell risiko ved hjelp av en strukturert tilnærming. Risikostyring skal bidra til å skape en bedre balanse mellom mål, risiko, styring og kontrolltiltak, og dermed en bedre ressursutnyttelse Risikostyring kan med andre ord ses på som et hjelpemiddel i arbeidet med å løse de styringsmessige utfordringer ledelsen står ovenfor. Den skal bidra til mer målrettet styring, og derfor også enklere styring, ved at ledelsen bruker tid på de viktigste forholdene Som illustrert i figuren til venstre er det en del sentrale forhold som alle må være på plass for å sikre god risikostyring og internkontroll. Dette knytter seg til felles forståelse av målbilde, identifisert risikobilde, forankring, en integrert og strukturert prosess, samt løpende oppfølging og håndtering av risiko 3
1.3 Revisjonskriterier Ved gjennomføring av revisjonen er det primært tatt utgangspunkt i forskrift om internkontroll i helse- og omsorgstjenesten, foretaksprotokoller og god praksis Lovgrunnlag Det er en rekke lover og forskrifter som regulerer området risikostyring og internkontroll. I denne revisjonen har vi funnet det hensiktsmessig å gjøre en avgrensing slik at revisjonskriteriene knyttes opp mot kravene i Forskrift om internkontroll i helse- og omsorgstjenesten (IK-helse). Denne forskriften er hjemlet i Helsetilsynsloven og Spesialisthelsetjenesteloven. Forskriften 4 skisserer innholdet i internkontrollen. Her er det beskrevet åtte punkter som virksomhetsledelsen har ansvar for å sikre («de 8 ledelsesprinsippene»). Styringsdokumenter I foretaksprotokollen 2008 fra Helse- og omsorgsdepartementet (HOD) til HMN er det nedfelt at: «Styret skal påse at Helse Midt-Norge RHF har god intern kontroll og at det er etablert systemer for risikostyring for å forebygge, forhindre og avdekke avvik. Risikofaktorer som kan medvirke til at målene til det regionale helseforetaket og helseforetaksgruppen ikke nås, skal identifiseres og korrigerende tiltak som med rimelighet kan redusere sannsynligheten for manglende måloppnåelse skal iverksettes. Styringssystemene skal tilpasses risiko og vesentlighet i forhold til virksomhetens målsetninger og ha nødvendig ledelsesmessig forankring i hele organisasjonen». Tilsvarende krav er gjentatt i alle foretaksprotokoller fram til og med 2014. Det regionale helseforetaket har på sin side videreført kravet til sine underliggende helseforetak. Helse Nord-Trøndelag (HNT) har utviklet en del interne styringsdokumenter på området. Disse finnes i form av bl.a. fullmakter, prosedyrer og retningslinjer. 4
1.4 Omfang og metode Områder som omfattes av revisjonen er illustrert i figuren nedenfor. Funn og vurderinger er basert på spørreundersøkelse, intervjuer med utvalgte ledere og dokumentgjennomgang. Vurderingen dekker overordnede forhold (rammeverk), og er gjennomført på ledelsesnivå Revisjonen omfatter ledelsesnivåene i foretakene, og skal gjennomføres i de tre sykehusforetakene i regionen. HNT er første foretak som er revidert Som illustrert i figuren til venstre dekker revisjonen følgende 4 hovedtema: Kunnskap om risikostyring og internkontroll på ledelsesnivå, Organisatoriske forhold, Identifisering og håndtering av risiko, samt Oppfølging og forbedringsarbeid Innenfor hvert av hovedtemaene er det definert områder som har dannet grunnlag for spørreundersøkelse, intervju og innhenting av relevant dokumentasjon. Funnene i rapporten er basert på: Spørreundersøkelse som er sendt ut til ledere på ulike ledelsesnivå i alle klinikker, samt utvalgte personer i Stab, totalt 121 personer. Det er mottatt 84 svar (svarprosent = 69%) Intervjuer og samtaler med totalt 18 personer i ledelsen: administrerende direktør, kvalitetssjef, analysesjef, 6 klinikksjefer, 4 avdelingsledere og 5 seksjonsledere Gjennomgang av relevante dokumenter innenfor de ulike områdene Revisjonen har fokusert på overordnede forhold (rammeverk) knyttet til risikostyring og internkontroll, og det er ikke foretatt detaljert gjennomgang og vurdering av «godhet» og etterlevelse av enkeltelementene Sentrale funn er presentert og forankret i oppsummeringsmøte med foretaksledelsen. Utkast til rapport er sendt til helseforetaket for faktaverifikasjon før endelig ferdigstillelse 5
Sammendrag 6
2. Sammendrag Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i Helse Nord-Trøndelag. Flere gode elementer er etablert, men manglende oppmerksomhet, fokus og konsekvens medfører variabel etterlevelse. Ledere har varierende kjennskap til, og kompetanse om risikostyring og internkontroll Overordnet rammeverk Risikostyring og internkontroll er i liten grad diskutert og forankret i foretaksledelsen og i styret. Det er ikke utarbeidet et overordnet styringsdokument eller etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming Kunnskap Ledere har varierende kjennskap til, og kompetanse om risiko-styring og internkontroll. Internkontroll vurderes som et mer kjent begrep enn risikostyring Ledere i klinikker/avdelinger som er ISO-sertifisert vurderes gjennomgående til å ha høyere kunnskap og forståelse enn de som ikke er ISO-sertifisert Organisatoriske forhold Overordnede mål, strategier og styringskrav er kjent blant lederne. Det fremkommer ikke en tydelig sammenheng mellom årlige styringskrav fra eier og foretakets mål og strategier. Sammenheng bør synliggjøres, samtidig som det med fordel kan defineres noen årlige strategiske prioriteringer på tvers av klinikkene. Dette vil kunne bidra til økt samhandling og helhetstenking i foretaket Organisering i form av plassering av roller, ansvar og myndighet fungerer i praksis, men det er behov for å tilpasse foretakets organisasjonskart slik at dette gjenspeiler faktisk situasjon Det er etablert skriftlig system for kompetanseutvikling og opplæring Etikk De fleste lederne opplever at etikk er langt fremme i den kliniske hverdagen, men det er få ledere som kjente til foretakets etiske retningslinjer I spørreundersøkelsen er det noe varierende score på spørsmål rundt etikk Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. Det utarbeides i dag ingen risikovurderinger med utgangspunkt i overordnede mål og strategier, hverken på foretaksnivå eller klinikk/avdelingsnivå. Det er etablert maler og rammeverk for gjennomføring av ROS-analyser, men det er variabel etterlevelse Rutiner og retningslinjer, samt oversikt over relevante lover og regler er tilgjengelig for ansatte via kvalitetssystemet EQS Oppfølging og forbedring Retningslinjer for oppfølging og forbedringsarbeid er etablert, men det er behov for mer systematisk læring på tvers av avdelinger og klinikker basert på uønskede hendelser og pasienterfaringer Ledelsens gjennomgang (løpende evaluering og oppfølging ) gjennomføres ikke i tråd med fastsatte retningslinjer 7
3. Sentrale funn og vurdering - pr tema 8
3.1 Kunnskap om risikostyring og internkontroll Ledere har varierende kjennskap til, og kompetanse om risikostyring og internkontroll. Internkontroll vurderes som et mer kjent begrep enn risikostyring. Ansatte i klinikker/avdelinger som er ISO-sertifisert vurderes gjennomgående til å ha høyere kunnskap og forståelse enn de som ikke er ISO-sertifisert. Opplæringstiltak bør iverksettes Figuren ovenfor viser utvalgte resultater fra spørreundersøkelse sendt til lederne i HNT som en del av prosjektet. Ytterligere informasjon fra spørreundersøkelsen er lagt i vedlegg. Kommentarene til høyre bygger både på resultatene fra spørreundersøkelsen og tilbakemeldinger mottatt i samtaler med et utvalg ledere Kunnskap - I spørreundersøkelsen svarer en stor andel at de har et bevisst forhold til risikostyring og internkontroll i sitt daglige arbeid, og at risikostyring og internkontroll er kjente begrep. Nærmere undersøkelser og samtaler viser et mer nyansert bilde. Samtaler underbygger at de fleste lederne har god forståelse for og kunnskap om internkontroll, mens risikostyring er et mer umodent begrep ISO-sertifiserte klinikker oppleves som mer modne når det gjelder risikostyring og internkontroll enn klinikker som ikke er sertifiserte., bl.a. på struktur og systematikk. Flere ledere som har vært gjennom en ISOsertifisering påpeker at dette har vært en verdifull øvelse som blant annet har bidratt til bedre kvalitet og bedre samhandling internt Risikoforståelse - De fleste lederne mener at de har god forståelse for sentrale risikoer innenfor sine ansvarsområder og at dette danner grunnlag for prioriteringer. Risikoidentifikasjon og vurderinger er i liten grad formalisert og dokumentert Opplæring I internkontrollforskriftens 4 bokstav c) er det krav om at ansatte i tillegg til å ha tilstrekkelig kunnskap og ferdigheter innenfor aktuelle fagområder, skal ha kunnskap om virksomhetens internkontroll. Opplæring i internkontroll og risikostyring er i liten grad satt i system i foretaket. Enkelte ledere har hatt opplæring, men det er lenge siden. 40 % av respondentene i spørreundersøkelsen opplever at de ikke har fått tilstrekkelig veiledning og opplæring, og dette etterlyses av flere av de intervjuede 9
3.2 Organisatoriske forhold (1:2) Overordnede mål, strategier og styringskrav er kjent blant lederne. Det fremkommer ikke en tydelig sammenheng mellom årlige styringskrav fra eier og foretakets egne mål og strategier. Sammenheng bør synliggjøres, samtidig som det med fordel kan defineres noen årlige strategiske prioriteringer på tvers av klinikkene. Dette vil kunne bidra til økt samhandling og helhetstenking i foretaket Strategi 2016 og Styringskrav og rammer for 2014 Modell for mål og resultatstyring i Helse Nord-Trøndelag Retningslinjer for risikostyring og internkontroll - Styret har ikke vedtatt overordnede retningslinjer som definerer roller og ansvar, og som gir overordnede føringer knyttet til risikostyring og internkontroll i foretaket Mål og strategier Det foreligger en overordnet strategi for HMN (strategi 2020) og for HNT (strategi 2016) som er tilgjengelig via foretakets Virksomhetsportal. I tillegg kommer årlige en rekke styringskrav fra HOD/RHF. For 2014 utgjorde dette i overkant av 70 styringskrav. Det fremkommer ikke en tydelig sammenheng mellom styringskrav fra eier og foretakets overordnede strategiske mål Over 90 % av respondentene i spørreundersøkelsen er helt eller delvis enig i at foretakets mål og strategier er tydelige. Dette gjelder spesielt kvantitative måltall som ventetid, fristbrudd og økonomi. Disse måltallene er også nedfelt i lederavtale mellom klinikkleder og administrerende direktør. Enkelte ledere etterlyser imidlertid mer fokus på strategiske prioriteringer og mål knyttet også til kvalitet, herunder 2-3 prioriteringer på foretaksnivå (på tvers av klinikkene) som løpende diskuteres og evalueres i foretaksledelsen Modell for mål- og resultatstyring HNT benytter modellen illustrert til venstre som grunnlag for mål- og resultatstyring. Modellen dekker flere sentrale elementer relatert til risikostyring og internkontroll på en relativt strukturert måte. Modellen kan med fordel videreutvikles både når det gjelder struktur og innhold, samt gjøres bedre kjent blant lederne Styringskrav og rammer er definert fra RHF i årlige styringsdokumenter. Det er etablert et elektronisk verktøy i Virksomhetsportalen hvor en operasjonaliserer og ansvarsplasserer kravene i en samlet oversikt. Oversikten er inkludert som en del av Modell for mål- og resultatstyringen, og status rapporteres tertialvis til ledelsen og styret. Koordinering håndteres i stor grad av analyse-avdelingen. Rapporteringen presenteres overordnet for foretaksledelsen, men det er lite diskusjon i foretaksledelsen før fremleggelse for styret 10
3.2 Organisatoriske forhold (2:2) Organisering i form av plassering av roller, ansvar og myndighet fungerer i praksis, men det er behov for å tilpasse foretakets organisasjonskart slik at dette gjenspeiler faktisk situasjon. Det er etablert skriftlig system for kompetanseutvikling og opplæring. Det er få ledere som kjenner til foretakets etiske retningslinjer. I spørreundersøkelsen er det noe varierende score på spørsmål rundt etikk Foretaksledelsen består av 15-20 personer. Møter i foretaksledelsen benyttes i dag i hovedsak som informasjonsmøter, og i mindre grad til strategiske diskusjoner på tvers av klinikker og / eller som et forberedende organ for saker som skal styrebehandles. Noen prioriterte strategiske tema på tvers av ledergruppen kan bidra til mer diskusjoner og samarbeid, og mindre «silotankegang» Organisering Organisering i form av plassering av roller, ansvar og myndighet fungerer i praksis, men det er behov for å tilpasse foretakets organisasjonskart slik at dette gjenspeiler faktisk situasjon. Organisasjonskartet defineres i dag som et anvisningskart og gir ikke en tydelig beskrivelse av hvordan roller og ansvar faktisk er fordelt. Flere ledere er ikke kjent med organisasjonskartet og mener det fremstår som uryddig Samhandling Det er gitt relativt svak score i spørreundersøkelsen på spørsmålet om det er god og effektiv samhandling mellom ulike avdelinger i foretaket ved pasientbehandling. Det er ikke avdekket noe spesielt i intervjuer som underbygger eller forklarer den svake scoren Etikk - De fleste opplever at etikk er langt fremme i den kliniske hverdagen, men det er få ledere som kjenner til foretakets etiske retningslinjer. I spørreundersøkelsen er det noe varierende score på spørsmål rundt etikk: Roller og ansvar oppleves i stor grad som tydelig og er formalisert gjennom funksjonsbeskrivelser, stillingsbeskrivelser og fullmakts - beskrivelser. Ledere som har ansvar for klinisk virksomhet i tillegg til lederrollen kommenterer at det er lite tid til ledelse. Det er ikke etablert en enhetlig ledelse på alle nivå i tråd med krav i spesialisthelsetjenesteloven Kompetanse - Klinikkene har utarbeidet kompetanseplaner, og det synes å være etablert et godt skriftlig system for kompetanse-utvikling og opplæring. Det er etablert sjekklister for nyansatte, samt for løpende evaluering av ansattes kompetanse og behov for fagoppdatering og internkurs 11
3.3 Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. Det utarbeides i dag ingen risikovurderinger med utgangspunkt i overordnede mål og strategier, hverken på foretaksnivå eller klinikk/avdelingsnivå. Det er etablert maler og rammeverk for gjennomføring av ROS-analyser, men det er variabel etterlevelse Lederne opplever at de i stor grad har et bevisst forhold til risiko, men undersøkelser viser at dette i liten grad formalisert og dokumentert ROS-analyser gjennomføres, men det er store variasjoner mellom klinikker/enheter Identifikasjon og vurdering av risiko - Det foretas årlig en vurdering av måloppnåelse for hvert enkelt styringskrav. Dette registreres i et elektronisk verktøy i Virksomhetsportalen. Det foretas ikke en systematisk identifikasjon og vurdering av hva som kan hindre at styringskravene nås (risikodrivere) Styret blir ikke periodisk forelagt en overordnet risikovurdering for HNT, dvs en risikovurdering som viser hva som er de (for eksempel 10-15) mest sentrale risikoene som kan hindre måloppnåelse Inntrykk gjennom intervjuer er at lederne er bevisst sentrale risikoer innenfor sitt ansvarsområde, men at det er behov for mer systematikk/ rammeverk for å ha et tydelig risikobilde som løpende følges opp og danner grunnlag for iverksettelse av tiltak Det er etablert maler og rammeverk for gjennomføring av ROS-analyser (dvs risiko- og sårbarhetsvurderinger), men det er variabel etterlevelse. ISOsertifiserte klinikker gjennomfører periodisk ROS-analyser, mens andre klinikker gjør dette mer ad-hoc basert, og enkelte klinikker har aldri gjennomført ROS-analyse. Ledere som har vært involvert i ROS-analyser opplever dette som nyttig, og at det gir gode innspill til forbedring. Det er lite fokus på deling av informasjon/læring på tvers fra gjennomførte analyser Rutiner og retningslinjer - Det er utarbeidet en rekke rutiner og retningslinjer på foretaksnivå som løpende ajourføres, og som er tilgjengelig for ansatte via EQS (kvalitets-system). Analyse av treff/søk i EQS viser at verktøyet brukes. Struktur og innhold kan forbedres, og dokumenter kan i større grad implementeres på tvers av foretaket. Flere avdelinger/enheter har i dag etablert egne rutiner og retningslinjer i tillegg til det som er utarbeidet på foretaksnivå Lover og regler Ansatte har god tilgang til relevante lover og regler som regulerer virksomheten. Dette er tilrettelagt i EQS både på foretaksnivå og mer spesifikt innenfor ulike enheter. 12
3.4 Oppfølging og forbedring Retningslinjer for oppfølging og forbedringsarbeid er etablert, men det er behov for mer systematisk læring på tvers av avdelinger og klinikker basert på uønskede hendelser og pasienterfaringer. Ledelsens gjennomgang gjennomføres ikke i tråd med fastsatte retningslinjer Uønskede hendelser (rammeverk) Rutiner og retningslinjer for uønskede hendelser er etablert. Systemet oppleves som noe tungvint, og det etterlyses mer veiledning/tips for registrering og kategorisering av hendelser Uønskede hendelser (registrering) - Alle respondenter i undersøkelsen bekrefter at rapportering av uønskede hendelser er viktig for å lære av feil. I intervjuer ble det kommentert at ikke alle hendelser blir registrert i samsvar med foretakets retningslinjer. Dette knytter seg både til usikkerhet på hva som skal meldes og hvordan (kategorisering), opplevelse av «angiveri», samt manglende/sen tilbakemelding til melder Uønskede hendelser (oppfølging) Hendelser diskuteres løpende i ulike ledermøter. Det gjøres i liten grad samlet vurdering av hendelser eller spesifikke hendelsesanalyser basert på registrerte hendelser til bruk i forbedringsarbeidet. Det er lite eller ingen systematisk læring på tvers av klinikker/enheter Kvalitets- og pasientsikkerhetsutvalg (KPU) I tråd med lovkrav er det etablert et kvalitets- og pasientsikkerhetsutvalg. Organiseringen av utvalget har ikke fungert som forutsatt det siste året, og det arbeides med å se på både organisering og mandat Pasienterfaringer Det gjennomføres i liten grad systematisk innhenting av erfaringer fra pasienter og pårørende til bruk i forbedringsarbeidet Styringsinformasjon Lederne oppfatter at de har god tilgang til relevant og tidsriktig styringsinformasjon. Det har vært iverksatt en rekke forbedringstiltak på dette området de siste årene Ledelsens gjennomgang Det er i tråd med kravene i internkontrollforskriften definert retningslinjer for periodisk oppfølging og evaluering av etablert internkontroll (gjennomføring av ledelsens gjennomgang ). Retningslinjene på foretaksnivå er lite spesifikke og kan forbedres. Det er videre behov for samkjøring av retningslinjer da alle ISO-sertifiserte enheter/avdelinger har laget egne versjoner av retningslinjene Ledelses gjennomgang har ikke vært gjennomført de siste to årene på foretaksnivå. Resultat fra tidligere gjennomførte ledelsens gjennomgang har ikke vært presentert for styret ISO-sertifiserte klinikker/enheter gjennomfører årlig ledelsens gjennomgang, og opplever dette som en nyttig øvelse. Klinikker/enheter som ikke er sertifiserte har i liten eller ingen grad gjennomført ledelsens gjennomgang i tråd med foretakets retningslinjer 13
Anbefalinger 14
4. Anbefalinger (1:5) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Kunnskap om risikostyring og internkontroll (Kultur og kompetanse) Det har ikke vært tilstrekkelig fokus på risikostyring og internkontroll i foretaksledelsen. Dette har blant annet sammenheng med manglende helhetlig rammeverk, mangelfull/variabel kompetanse, samt manglende etterspørsel fra styre og eier. Det er etablert rutiner og retningslinjer innenfor sentrale områder, og flere elementer knyttet til risikostyring og internkontroll er etablert. Manglende oppmerksomhet, fokus og konsekvens medfører imidlertid variabel etterlevelse. Lederne har varierende kjennskap til, og kompetanse om risikostyring og internkontroll, og opplæring er mangelfull og i liten grad satt i system Økt fokus Det er behov for økt bevisstgjøring og økt ledelsesfokus knyttet til risikostyring og internkontroll, herunder tydeliggjøre krav og forventinger til lederne Opplæring - Lederne bør gis innføring i risikostyring og internkontroll slik at de har tilstrekkelig forståelse og et felles utgangspunkt. Ut fra definerte krav og forventinger til lederne bør det gjennomføres en kartlegging av ledernes behov for opplæring. Det bør videre vurderes å koordinere opplæringstiltak på tvers av helseforetakene i regionen Årshjul - Det bør etableres et årshjul for risikostyring og internkontroll som sikrer at temaer som risikovurdering, uønskede hendelser, ledelsens gjennomgang osv. systematisk behandles i foretaksledelsen Konsekvenskultur Det bør kommuniseres tydelige krav til lederne om etterlevelse av fastsatte mål og retningslinjer. Fastsatte krav og forventinger bør følges opp på en systematisk måte. Det må etableres en felles forståelse for konsekvenser ved manglende etterlevelse. 15
4. Anbefalinger (2:5) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Organisatoriske forhold Det er ikke etablert et helhetlig rammeverk for risikostyring og internkontroll på tvers av klinikker og enheter i Helse Nord-Trøndelag. Flere gode elementer er etablert, men det er behov for videreutvikling og en mer helhetlig tilnærming. Risikostyring og internkontroll er i liten grad diskutert og forankret i styret, og styret har ikke vedtatt et overordnet styringsdokument. Overordnede retningslinjer - Det bør utarbeides overordnede retningslinjer for risikostyring og internkontroll som diskuteres og forankres i styret. Retningslinjene skal gi føringer for foretakets overordnede holdninger og sikre at det etableres og vedlikeholdes en effektiv risikostyringsprosess på tvers av klinikker og enheter som er tilpasset foretakets art, størrelse og kompleksitet. I dette arbeidet bør det være en dialog opp mot det regionale foretaket for å bidra til en enhetlig praksis på tvers av helseforetakene. Flere avdelinger/enheter har i dag etablert egne rutiner og retningslinjer i tillegg til det som er utarbeidet på foretaksnivå. Inngangsbilder i EQS er ulike for de ulike klinikker, og generelt virker det som om man kunne vært mer koordinert i dette arbeidet. Samkjøre og etablere et helhetlig rammeverk - Dagens rammeverk bør gjennomgås, og det bør etableres og implementeres et enhetlig rammeverk for risikostyring og internkontroll på tvers av enhetene i helseforetaket. Det bør etableres maler/veiledning som sikre en mest mulig enhetlig tilnærming. Dette vil også styrke foretakets ambisjon om sertifisering. Etablert rammeverk (verktøykasse) må gjøres tilstrekkelig kjent for lederne, og bør inkluderes i opplæringsaktiviteter. 16
4. Anbefalinger (3:5) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Organisatoriske forhold Overordnede mål, strategier og styringskrav er kjent blant lederne. Foretaket er underlagt en rekke styringskrav (for 2014 utgjør dette i overkant av 70 styringskrav). Det fremkommer ikke en tydelig sammenheng mellom årlige styringskrav fra eier og foretakets mål og strategier. Overordnede mål og prioriteringer - Sammenheng mellom årlige styringskrav og foretakets mål og strategier bør synliggjøres. Det bør defineres noen årlige strategiske prioriteringer på tvers av klinikkene. Dette vil kunne bidra til økt samhandling og helhetstenking i foretaket Organiseringen fungerer i praksis, men det er behov for å tilpasse foretakets organisasjonskart slik at dette gjenspeiler faktiske roller og ansvar. Det arbeides systematisk med kompetanseutvikling. Organisasjonskart Det bør utarbeides et organisasjonskart som bedre reflekterer sammenhengen mellom ansvar og myndighet (prosjekt igangsatt - ledet av analysesjef) 17
4. Anbefalinger (4:5) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Identifisere og håndtere risiko Det er behov for økt fokus på identifikasjon og vurdering av risiko. Det utarbeides ingen overordnet risikovurdering hverken på foretaksnivå, eller klinikk/avdelingsnivå med utgangspunkt i foretakets mål og strategier Det er etablert maler og rammeverk for gjennomføring av ROS-analyser, men det er variabel etterlevelse. Identifikasjon og vurdering av risiko Det bør etableres et system for identifikasjon av risikoer i foretaket. Basert på identifiserte risikoer bør det gjennomføres en overordnet risikovurdering (risikoworkshop) på ledelsesnivå minimum årlig. Identifikasjon og vurdering av risiko bør ta utgangspunkt i foretakets overordnede mål (hensyntatt styringsmål og krav). Se side 20 for illustrasjon/eksempel på struktur. For sentrale risikoer bør det defineres risikoeiere som har ansvar for løpende oppfølging av tiltak og rapportering på status. Risikoanalyser bør også gjennomføres mer systematisk innenfor alle klinikker og i forkant av alle større endringer 18
4. Anbefalinger (5:5) Tabellen nedenfor beskriver funn i gjennomgangen, samt internrevisjonens forslag til tiltak/forbedringer Tema Funn Anbefaling Oppfølging og forbedring Uønskede hendelser Retningslinjer er etablert, men det er behov for mer systematisk læring på tvers av avdelinger og klinikker basert på uønskede hendelser og pasienterfaringer. Det er variabel registrering av uønskede hendelser, noe som knytter seg både til usikkerhet på hva som skal meldes og hvordan (kategorisering), opplevelse av «angiveri», samt manglende/sen tilbakemelding til melder. Det er også variabler bruk av resultatene i forbedringsarbeidet og som grunnlag for risikovurderinger. Meldekultur - For å sikre en bedre meldekultur og bidra til kontinuerlig forbedring er det viktig å ha fokus på system og forbedringsområder og ikke på person. For å bedre meldekulturen bør det klargjøres: hva som skal meldes saksgang arena for diskusjon (Foretaksledelsen, klinikkråd, KPU osv.) Pasienterfaringer Det bør etableres et system for systematisk innhenting og bruk av pasienterfaringer i forbedringsarbeidet. I IK-helse 4, bokstav h) er det krav om at det skal foretas en systematisk overvåking og gjennomgang av internkontrollen (ledelsens gjennomgang) for å sikre at den fungerer som forutsatt og bidrar til kontinuerlig forbedring i virksomheten. Det er flere ulike varianter av retningslinjer for ledelsens gjennomgang. Gjennomføring av ledelsens gjennomgang gjøres i varierende grad. Ledelsens gjennomgang - Retningslinjer for ledelsens gjennomgang (nivå 1) er lite spesifikke og bør forbedres. Videre bør det sikres at det er samme retningslinjer som legges til grunn i hele helseforetaket. Det bør årlig gjennomføres en evaluering av risikostyring og internkontroll som legges frem for styret. Evalueringen bør gjøres baseres på en bottom-up prosess med rapportering fra de ulike klinikkene. 19
Risikograderingskart (modell i bruk i Helse Midt-Norge) 5.Svært stor 4.Stor 3.Moderat 2.Liten 1.Meget liten 1.Ubetydelig 2.Lav 3.Moderat 4.Alvorlig 5.Svært alvorlig KONSEKVENS (av at mål IKKE nås) Risiko Kritisk Høy/Moderat Lav Risikograderingskart (modell i bruk i Helse Midt-Norge) 5.Svært stor 4.Stor 3.Moderat 2.Liten 1.Meget liten 1.Ubetydelig 2.Lav 3.Moderat 4.Alvorlig 5.Svært alvorlig KONSEKVENS (av at mål IKKE nås) Risikograderingskart (modell i bruk i Helse Midt-Norge) Risiko Kritisk Høy/Moderat Lav 5.Svært stor 4.Stor 3.Moderat 2.Liten 1.Meget liten 1.Ubetydelig 2.Lav 3.Moderat 4.Alvorlig 5.Svært alvorlig KONSEKVENS (av at mål IKKE nås) Risikograderingskart (modell i bruk i Helse Midt-Norge) Risiko Kritisk Høy/Moderat Lav 5.Svært stor 4.Stor 3.Moderat 2.Liten 1.Meget liten 1.Ubetydelig 2.Lav 3.Moderat 4.Alvorlig 5.Svært alvorlig KONSEKVENS (av at mål IKKE nås) Risiko Kritisk Høy/Moderat Lav Risikograderingskart (modell i bruk i Helse Midt-Norge) 5.Svært stor 4.Stor 3.Moderat 2.Liten 1.Meget liten 1.Ubetydelig 2.Lav 3.Moderat 4.Alvorlig 5.Svært alvorlig KONSEKVENS (av at mål IKKE nås) Risiko Kritisk Høy/Moderat Lav Illustrasjon Anbefaling Risikovurdering Illustrasjon av hvordan en risikovurdering kan utføres på overordnet nivå med å ta utgangspunkt i foretakets overordnede strategi, samt årlige styringskrav og rammer Start med HNTs overordnede mål Årlige styringskrav kobles mot overordnede mål (målhierarki) Risikoidentifikasjon basert på overordnet mål og tilhørende styringskrav - hva kan hindre måloppnåelse? Vurder identifiserte risikoer (sannsynlighet, konsekvens, dagens håndtering). Forhåndsdefinert skala Definer risikoeier Lag et aggregert risikobilde som kan brukes for eksempel i dialog med styre/eier. Viser sentrale risikoer og status pt 1 PASIENTBEHANDLING Våre tjenester skal være tilgjengelige, punktlige og preges av kvalitet, trygghet og respekt SANNSYNLIGHET (for at mål IKKE nås) Overordnet strategi HNT «Strategi 2016» 2 KVALITET, FAGUTVIKLING OG FORSKNING Kvalitet i alle ledd 3 MEDARBEIDER- UTVIKLING Kompetente medarbeidere som er engasjert i jobben Årlige styringsmål/krav og andre føringer Totalvurdering av risikobilde SANNSYNLIGHET (for at mål IKKE nås) Risikoidentifikasjon Risikovurdering (sannsynlighet og konsekvens) SANNSYNLIGHET (for at mål IKKE nås) Definer konkrete tiltak for områder som ikke er tilstrekkelig håndtert/må forbedres etc. Definer ansvarlig. Periodisk rapportering/oppfølging i ledermøter SANNSYNLIGHET (for at mål IKKE nås) 4 SAMHANDLING 5 Befolkningen opplever en god og sammenhengende helsetjeneste Overordnet tiltaksplan SANNSYNLIGHET (for at mål IKKE nås) ØKONOMI OG RESSURSSTYRING Økonomi- og ressursstyring som gir kvalitet og effektivitet 20
Vedlegg Resultater fra spørreundersøkelse
Overordnet score pr klinikk I starten av prosjektet ble det sendt ut en spørreundersøkelse til ledere på ulike nivå i HNT 1 for å gjøre en innledende kartlegging knyttet til risikostyring og internkontroll opp mot god praksis. Det ble totalt mottatt 84 tilbakemeldinger (svarprosent = 69%). Som illustrert nedenfor scorer 2 klinikkene noe ulikt innenfor de ulike hovedtemaene. Det er benyttet en skala fra 1-5, der 1 er helt uenig og 5 er helt enig i påstander som er definert ut fra god praksis. I figuren starter skala på 3,5 1 Totalt 121 ledere mottok undersøkelsen, herunder adm.dir, Fagavdelingen, klinikksjefer, avdelingsleder og seksjonsledere 2 Snitt score for alle respondenter på alle spørsmål innenfor de aktuelle hovedområdene
Organisatoriske forhold Utvalgte resultater Relativt svak score på spørsmål og god og effektiv samhandling mellom ulike avdelinger. Det er ikke gitt noen nærmere kommentarer i undersøkelsen eller i intervjuer som forklarer scoren. På spørsmål rundt er det store variasjoner mellom ulike respondenter og snitt pr klinikk Klinikker med høyest/ svakest snitt score: 4,8 = Med.klinikk Namsos 4,4 = BFK 4,4 = Psykiatrisk klinikk 3,9 = Med. serviceklinikk 3,8 = Med.klinikk Levanger
Utvalgte resultater identifiser og håndtere risiko Jevnt over god score på etablerte rutiner og retningslinjer, men svakere score på rammeverk og gjennomføring av risikoanalyser og systematiske tiltak for å redusere risiko. BFK og Medisinsk klinikk Namsos har høyest score, mens Medisinsk klinikk Levanger oppnår svakest score
Utvalgte resultater Oppfølging og forbedring Alle mener at rapportering av uønskede hendelser er viktig for å lære av feil, og de fleste svarer at de bruker uønskede hendelser aktivt i eget forbedringsarbeid. Det er imidlertid noe varierende score på registrering og analysering av hendelser. Pasienterfaringer benyttes i varierende grad. Oppfølging og evaluering av risikostyring og internkontroll kan forbedres
Internrevisjonen Om internrevisjonen i Helse Midt-Norge Internrevisjonen er organisert under styret i Helse Midt-Norge RHF og rapporterer funksjonelt til styrets revisjonsutvalg og administrativt til administrerende direktør i det regionale helseforetaket. Internrevisjonen ble etablert i 2005, og er fra 1.1.2013 hjemlet i Lov om helseforetak 37a. Internrevisjonen skal på vegne av styret i Helse Midt-Norge RHF bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring i det regionale helseforetaket og helseforetakene i regionen. Om revisjonsprosjektet: Revisjonsperiode: Juni 2014 Januar 2015 Virksomhet: Helse Nord-Trøndelag HF Oppdragsgiver: Styret i Helse Midt-Norge RHF Prosjektet er gjennomført i samarbeid med EY (Ernst & Young) Revisorer: Ellinor Wessel Pettersen (Internrevisjonssjef HMN) Per-Ove Godø (Internrevisor HMN) Tove Albrektsen (Prosjektleder EY) Kontaktpersoner: Internrevisjonen: Internrevisjonssjef Ellinor Wessel Pettersen Helse Nord-Trøndelag HF: Kvalitetssjef Tor-Ivar Stamnes