Innlegg på Nasjonal fagkonferanse i offentlig revisjon 17. 18. oktober 2006 Risikostyring som faglig i utfordring i Riksrevisjonen ved ekspedisjonssjef Therese Johnsen 1. Innledning Arbeidet med vesentlighets- og risikovurderinger står svært sentralt i planarbeidet hos alle virksomheter hvor hovedbeskjeftigelsen er revisjon. Det betyr at den offentlige revisjonsvirksomheten ofte har praktisert risikostyring lenge før dette ble et tema i økonomireglementet for staten. Men en ting er å ha risikostyring på dagsorden i planarbeidet, mens en annen ting er å legge risikostyringen til grunn for prioriteringene av oppgavene og ressursinnsatsen. Å la risikovurderingene styre revisjonsarbeidet på en mer konsistent måte er en ledelsesmessig utfordring i tillegg til det å gjøre gode risikovurderinger. I de 10 årene jeg har jobbet i Riksrevisjonen har arbeidet med vesentlighets- og risikovurderinger vært på dagsorden årlig. Og det er vel ingen andre områder hvor vi så systematisk har arbeidet med å forbedre våre systemer og rutiner som nettopp på dette området. Men la meg allerede innledningsvis nevne at det er først nå i de siste årene at også styringssystemet og den praktiske styringen er rettet mot risikomomentene og ikke bare mot oppdragene. Jeg skal senere komme tilbake til hvordan dette skjer i praksis. Men resultatet er blitt at toppledelsen styrer på risiko i stedet for på oppdragene. 2. Utviklingen i systemet for risikostyring I 2002 ble arbeidet med risikovurderingene reorganisert. Arbeidet ble løftet ut av den enkelte avdeling og organisert i team på tvers av revisjonstyper. Det ble utarbeidet en felles mal for risikovurderingene som skulle bidra til at vesentlige risikomomenter ble vurdert noenlunde likt fra virksomhet til virksomhet, slik at vi skulle kunne sammenligne risiko mellom departementsområdene. Dessuten ble framstillingen av risikomomentene vesentlig forenklet. Denne reorganiseringen av arbeidet med risikovurderingene var et forsøk på å synliggjøre for hele organisasjonen hvilke risikoforhold som gjaldt på de ulike departementsområdene. Arbeidsprosessene skulle være styrt ovenfra ved at toppledelsen bestemte gjennom en felles mal hvilke områder som spesielt skulle vurderes for risiko, og hvordan risikomomentene skulle struktureres. Samtidig skulle revisorene som reviderte områdene finne fram til de aktuelle risikomomentene og vurdere disse. For både regnskapsrevisjon, selskapskontroll og forvaltningsrevisjon er arbeidet med risikovurderinger beskrevet i retningslinjene for revisjonstypene, og revisorene skal legge disse til grunn i identifiseringen av risiko. Dokumentet skulle så behandles oppover i systemet og til slutt presenteres for det aktuelle departementet. Side 1 av 11
Hvert år i etterkant av risikovurderingene har det blitt gjennomført en evaluering av arbeidsprosessen og resultatet, og malen for risikovurderingene har stadig blitt bedre eller rettere sagt mer og mer forenklet og tydelig. Også dialogen med departementene har utviklet seg, og det hender til og med at departementets ledelse kommer med innspill til nye risiki som ikke på forhånd er tatt opp av Riksrevisjonen. Men selv om nåværende system for risikovurderinger ble utviklet, videreutviklet og tatt i bruk i årene 2002 til 2005, er det å ta for hardt i å si at virksomhetsstyringen og risikostyringen er hundre prosent integrert. I forbindelse med utarbeidelsen av virksomhetsplan for planåret 2006/2007 skjedde det en vesentlig endring i malen/strukturen for risikovurderingene som innebærer at Riksrevisjonen gikk over til reell og direkte risikostyring. Jeg skal senere i dette innlegget gjennomgå systemet, men i praksis betyr dette at vi styrer på risikomomentene, og avdelingene rapporterer til toppledelsen på de prioriterte risikomomentene. Dette har vært en betydelig omlegging i måten å tenke virksomhetsstyring på, og jeg mener at Riksrevisjonen er på god vei til å integrere risikostyringen i mål- og resultatstyringen. Riksrevisjonens toppledelse har hatt et betydelig engasjement i denne omleggingen. 3 Presentasjon av systemet for risikostyring Riksrevisjonen har følgende elementer i sin risikostyring. Visjon: Bidra effektivt til Stortingets kontroll og fremme god forvaltning. Fire hovedmål som retter seg mot våre brukere og et hovedmål som går på interne forhold og hvordan våre medarbeidere skal oppfatte arbeidsplassen. Omdømmeverdier: Kompetent, uavhengig og objektiv. Samspillverdier: Lagånd, åpenhet og respekt. Fire strategier: Prioritert risiko, kompetanse, ressursbruk Kritiske suksessfaktorer: kompetanse, kunnskapsdeling, gode arbeidsprosesser og god ledelse. Rapportering: Avkrefte/ bekrefte risiko, kompetanse, ressursbruk 3. Presentasjon av systemet for risikovurdering. Det er forutsatt at det under hvert departement årlig skal utarbeides en overordnet risikovurdering som normalt utgjør 3-4 sider. Formålet er å sikre at den etterfølgende operative Side 2 av 11
planleggingen i avdelingene baserer seg på et omforent og forpliktende felles vurderingsgrunnlag. I neste omgang vil Riksrevisjonen overfor departementene kunne framstå med mest mulig konsistente vurderinger av risiko. Risikovurderingen skal resultere i en overordnet plan hvor det skal framgå hvilke risikofaktorer som dekkes av de ulike revisjonstypene. Revisjonstypene kan dekke samme risikofaktor og dermed være overlappende. I disse tilfellene kreves det god koordinering og samarbeid fra revisjonen. I forbindelse med den overordnede planen skal risikofaktorene grupperes i følgende fem områder: 1. Budsjett Regnskap 2. Kontroll av disposisjonene 3. Årlig vurdering av styring, måloppnåelse og resultatrapportering 4. Forvaltning av statens eierinteresser i selskaper 5. Måloppnåelse og effektivitet De fire første områdene skal dekke de risikofaktorene som er relevante ift. den årlige rapporteringen i Dokument nr. 1. Den overordnede risikovurderingen vil derfor på en god måte kunne legge til rette for en bedre helhetlig rapportering fra Riksrevisjonen til Stortinget. Framstillingen skal vektlegge og beskrive risiko under det enkelte departement og i nødvendig grad beskrive forhold vedrørende de ulike saksområdene. Arbeidet med den overordnede risikovurderingen skal bygge på de strategiske analysene i regnskapsrevisjonen (hovedfokus på område 1-3), risikovurderinger i selskapskontrollen (hovedfokus på område 4) og risikovurderinger og eventuelle strategiske studier i forvaltningsrevisjonen (hovedfokus på område 5). 3.1 Risikoområdene er vurdert i forhold til: Mål og primæroppgaver Under dette punktet skal vurderinger av risiko knyttet til hovedmålene og primæroppgavene og departementets samfunnsmessige betydning vektlegges. Videre bør nye satsingsområder og viktige vedtak på området synliggjøres og vurderes. Dette punktet skal også inneholde en vurdering av kompleksiteten i mål- og oppgavestrukturer på området. Dette gjelder spesielt koordineringsansvaret for tverrgående oppgaver og er spesielt aktuelt for departementer som har slike funksjoner. Aktuelle risikofaktorer for mangelfull måloppnåelse kan bl.a. være: Mange og sprikende mål og oppgaver Uklare ansvarsforhold (jf. koordineringsdepartement kontra sektordepartement) Manglende eller lite hensiktsmessig koordinering Sektormål prioriteres framfor mer tverrgående prioriteringsområder Satsingsområder nedprioriteres Side 3 av 11
Budsjettmessig/regnskapsmessig betydning Det er viktig at det under hvert departement gis en kort omtale av økonomisk informasjon (både utgifter og inntekter). Omtalen baseres i hovedsak på den økonomiske analysen som framkommer gjennom finansiell revisors vurdering av budsjettet, foreløpig regnskap og fjorårets regnskap.. For de ulike utgifts- og inntektstypene er det forskjell i risiko og vesentlighet på alle departementsområdene, og det er viktig å synliggjøre utgifts- og inntektstyper og hvilke deler av departementsområdet som revisor må ha særlig oppmerksomhet mot senere i risikovurderingen. Dette kan f.eks. gjelde stønader under Arbeids- og inkluderingsdepartementet eller tilskuddene til internasjonal bistand under Utenriksdepartementet. Det vil også kunne være hensiktsmessig å gi kommentarer vedr. risiko under departementer med betydelige beløp på post 45 (større utstyrsanskaffelser). Merknad: Økonomi skal vurderes særlig i forhold til hvilke virksomheter og ordninger som har stor budsjettmessig betydning. Også betydelige endringer over tid skal drøftes. Organisatoriske virkemidler/forhold Her vurderes den organisatoriske kompleksiteten og andre risikofaktorer vedrørende organiseringen av forvaltningen. Kompleksiteten kan f.eks. være forbundet med at et departement har ansvaret for styringen av et stort antall større og mindre virksomheter med svært ulike oppgaver, tilknytningsformer og finansieringsformer. Et annet eksempel er at en og samme virksomhet forvalter mange ulike oppgaver og virkemidler, og at virksomheten av hensyn til tilstedeværelse og likt tjenestetilbud over hele landet er inndelt i mange geografiske enheter. Høy organisatorisk kompleksitet innebærer store krav til kompetanse og til samordning innenfor og mellom sektorer, og medfører en risiko. Risikoen for feil prioritering av oppgavene og ulik fortolkning av styringssignaler øker med antall forvaltningsnivåer og spredningen i saksområder, og kan resultere i manglende gjennomføring av Stortingets vedtak og forutsetninger. Organiseringen av økonomi- og regnskapsfunksjoner kan ha betydning for risikoen for feil og mangler i regnskapsavleggelsen. Aktuelle risikofaktorer kan bl.a. være: Organisatorisk kompleksitet Manglende kompetanse Komplisert styrings- og oppfølgingsarbeid Annet Omorganisering, omstilling og fristilling Side 4 av 11
Her vurderes vesentlige omorganiseringer og endringer innenfor departementets ansvarsområde, og som antas å være av betydning for effektiviteten i departementets oppgaveløsning. Ved større omorganiseringer er det erfaringsmessig også utfordrende å få på plass tilfredstillende styringssystemer som gjør virksomhetene i stand til å avlegge fullstendig regnskap. Risiko skal vurderes både i forhold til planlagte, pågående og nylig gjennomførte omstillinger. Aktuelle risikofaktorer kan bl.a være: Kompetansen forsvinner og må bygges opp med nye medarbeidere Kostnadsoverskridelser Manglende måloppnåelse og ivaretakelse av oppgaver i omstillingsfasen Tidspress Manglende overvåkning av kontrollsystemer Effektivitetsperspektivet ikke tilstrekkelig vektlagt Juridiske, økonomiske og pedagogiske virkemidler Her vurderes risiko knyttet til bruken av juridiske, økonomiske og pedagogiske virkemidler. I statsforvaltningen brukes disse virkemidlene i stor utstrekning. Juridiske virkemidler kan f.eks. være lover, forskrifter, konsesjoner, lisenser, reguleringer, kontrakter og avtaler. Økonomiske virkemidler kan f.eks. være ulike typer tilskudd, statlige kjøp av varer og tjenester, skatter og avgifter, utlånsvirksomhet, utbyttepolitikk. Pedagogiske virkemidler kan f.eks. være informasjon, handlingsplaner, holdningskampanjer og veiledningsvirksomhet. Risikoen ved juridiske virkemidler kan bl.a. være knyttet til både manglende etterlevelse av virkemidlene (kontroll av disposisjonene og etterlevelsesperspektivet i selskapskontrollen) og at virkemidlene ikke alltid vil ha de tilsiktede virkninger (måloppnåelse og effektivitet). Risikoen kan bl.a. ha sin bakgrunn i følgende forhold: Virkemidlenes tilgjengelighet (bl.a. knyttet til hvor komplekse regelverk, kontrakter o.l. er) Forvaltningen av virkemidlene (bl.a. knyttet til kompetansen i forvaltningen av f.eks. regelverket, tolkninger, rettssikkerhet) De juridiske virkemidlenes preventive virkning (bl.a. knyttet til fordeler, ulemper og risiki ved hhv. etterlevelse og overtredelse av regelverket). Risikoen ved økonomiske virkemidler er i første rekke knyttet til at virkningen ikke er som forventet, eller at det økonomiske virkemiddelet også gir seg utslag i utilsiktede og uønskede resultater og handlinger. Risikoen kan bl.a. ha sin bakgrunn i følgende forhold: Side 5 av 11
Forvaltningens kompetanse til å innrette og forvalte de økonomiske virkemidlene på en effektiv måte. Målgruppens kompetanse, dvs. hvilken evne målgruppen har til å sette seg inn i og forstå forskjellige ordninger. Hvor tungt den økonomiske gevinsten ved virkemiddelet veier i forhold til andre hensyn som kan virke motiverende for målgruppen. Risikoen ved pedagogiske virkemidler er knyttet til at målgruppen ikke har sterk nok interesse av å endre adferd i tråd med det som er målet for virkemiddelet. Styring og kontroll (Governance) Under dette punktet skal vi vurdere risiko knyttet til bruken av ulike styringssystemer. Styringen omfatter i denne sammenheng både virksomhetsstyring og etatsstyring. Systemene omfatter rutiner for planlegging, styringsdialog, resultatrapportering og oppfølging, og elektroniske systemer som økonomi- og regnskapssystemer, saksbehandlingssystemer, administrative systemer og systemer for registrering og rapportering av resultater. Alle virksomheter skal etablere systemer og rutiner som har innebygd intern kontroll, jf. Reglement for økonomistyring i staten. Virksomhetens ledelse har ansvaret for å påse at den fungerer på en tilfredsstillende måte, og at den kan dokumenteres. Intern kontroll skal primært være innebygd i virksomhetens interne styring og skal forhindre styringssvikt, feil og mangler. Svak intern kontroll øker risikoen for at departementets eller virksomhetens fastsatte mål på ulike områder ikke nås. Videre skal det gis en beskrivelse av de systemer og prosesser som benyttes i styring og oppfølging. Det er virksomhetenes ansvar å ha tiltak både for å forebygge og å avdekke misligheter samt rutiner for å behandle ev. tilfeller iht. gjeldende regelverk. Det er imidlertid forventninger om at revisor spiller en mer aktiv rolle i å avdekke misligheter. Det er derfor viktig å identifisere risikofaktorer knyttet til eventuelle misligheter som trygdemisbruk eller lignende. Det kan belyses ved bl.a. å se på virksomhetenes holdning til kontroll og etablering av en god internkontroll, om det er etablert etiske retningslinjer og en tydelig policy for hva som skjer hvis misligheter avdekkes. Mangelfull internkontroll og mangler ved regnskapssystemene øker risikoen for at misligheter kan begås. Aktuelle risikofaktorer knyttet til styring og kontroll kan bl.a være: Kontrollmiljø med svakt fokus på intern kontroll og svak oppfølging fra ledelsen (bl.a. i forhold til policy, regler og retningslinjer) Rapporteringsmiljø statsregnskapet, økonomisystemer, resultatrapportering mv. Svak kompetanse hos ledelse og ansatte (bl.a. i forhold til instrukser, retningslinjer og bruk av elektroniske systemer) Uklar ansvars- og myndighetsfordeling i den løpende driften Dårlige rutiner for rapportering og oppfølging av risikoforhold som svakheter og mangler Mangler ved oppfølging av resultater og måloppnåelse Manglende informasjon om kostnader Side 6 av 11
Etikk, habilitetsspørsmål med mer. Høy kompleksitet i systemene og rutinene Manglende kompatibilitet mellom systemer Svikt ved innføring av styringssystemer, kostnadsoverskridelser og framdriftsproblemer Feil eller mangelfull bruk Mangelfull dokumentasjon, kvalitet, kompetanse og kapasitet Mangelfull styring eller oppfølging av underliggende virksomheter Spesielt om misligheter: Store pengestrømmer Betydelige anskaffelser Omfattende konsulentbruk Betydelige omstillinger med fare for sviktende lojalitet Ledelsens holdninger, policy, integritet og kompetanse Side 7 av 11
Tidligere revisjonsfunn Denne delen skal basere seg på saker eller forhold som er av vesentlig betydning, fortrinnsvis saker som har vært rapportert til Stortinget og som ikke er rettet opp. Revisor skal vurdere om tidligere revisjonsfunn fortsatt utgjør en risiko og spesielt ha oppmerksomhet mot gjentagende feil. Risikovurderingene skal omfatte rapporteringen av revisjonsfunn de siste tre årene fra både regnskapsrevisjonen, forvaltningsrevisjonen og selskapskontrollen. Risikofaktorer knyttet til ovennevnte punkter kan være: Antall og type saker Manglende evne/vilje til å følge opp Riksrevisjonens saker og iverksette tiltak Avdekkede svakheter i styring og intern kontroll kan innebære risiko for manglende måloppnåelse og effektivitet Andre forhold av betydning for revisjonen Dersom viktige forhold av samfunnsmessig art ikke er omtalt i kapitlene 1-5 foran, kan det innarbeides her dersom det er relevant for drøftingen av overordnet risiko. Dette kan være sektorovergripende forhold som f.eks. hvordan måloppnåelsen på departementsområdet påvirkes av virkemiddelbruk på andre departementsområder, f.eks. innenfor miljøområdet. 3.2 Analyse av risikofaktorene Dette punktet skal basere seg på de risikofaktorene som er omtalt i punktene foran. I drøftingen skal man vektlegge faktorer som gir sannsynlighet for avvik fra Stortingets vedtak og forutsetninger, og hvor konsekvenser av slike avvik er vesentlige. Drøftingen skal være så vidt spesifikk at den kan gi grunnlag for identifisering av revisjonshandlingene. Samtidig er det også viktig at man i analysen evner å legge vekt på risikofaktorer som gjelder flere av revisjonstypene. Dette punktet skal synliggjøre alle risikofaktorer som kan være aktuelle å følge opp gjennom revisjon og kontroll i det påfølgende planåret. Dette punktet skal også synliggjøre relevante risikofaktorer som ikke blir vektlagt, f.eks. av hensyn til pågående eller nylig gjennomførte revisjoner eller knapphet på ressurser.. 3.3 Prioritering og fordeling Under dette punkt skal det lages en overordnet plan som viser hvordan risikovurderingene skal følges opp. Den overordnede planen skal vises i en tabell hvor det framgår hvilket område hver enkelt risikofaktor er knyttet til. Videre skal tabellen vise hvilken revisjonstype som skal forestå håndteringen av risikoen, alternativt at det skal etableres et samarbeid på tvers av Side 8 av 11
revisjonstypene for å håndtere risikoen. Når risikoen skal håndteres i samarbeid mellom revisjonstypene, skal den valgte samarbeidsformen beskrives nærmere i kommentarer til tabellen. Den overordnede planen skal være forpliktende i forhold til den etterfølgende og mer detaljerte operative planleggingen av aktivitetene i det kommende revisjonsåret. Prioriteringene under hvert departement skal dessuten sikre at risikopregede forhold blir underlagt tilstrekkelig revisjon, samtidig som dobbeltarbeid unngås. Tabell: Gruppering og fordeling av risikofaktorer i forhold til områder og revisjonstyper Eksempel: Prioriteringer i revisjonen 2006-2007 for departement X Budsjett/ regnskap Kontroll av disposisjonene Årlig vurdering av virksomhetenes styring, Forvaltning av eierinteresser i Måloppnåelse og effektivitet mål og resultatrapportering selskapene Risikoområder R R R, F, RF S, F F 1. Risikostyring og R R S intern kontroll 2. Kompetanse, R R F samordning, samarbeid og kvalitet 3. Måloppnåelse knyttet R R S til tilskuddene 4. Måloppnåelse knyttet R R S F til handlingsplaner 5. Måloppnåelse av S kvalitetsindikatorer 6. IT og helse R R F 7. Etterlevelse av regelverk 8. Trygdeetatens kontroll av refusjoner 9. Kvalitet, effektivitet og måloppnåelse i FHI 10. Legemiddelforvaltningen 11. Saksbehandlingstid i Statens helsetilsyn 12. Risiko i forhold til beredskap 13. Fond, stiftelser og legater R R S R R F R R F F R R F Side 9 av 11
R = Regnskapsrevisjon F = Forvaltningsrevisjon S = Selskapskontroll RF = Samarbeid mellom regnskapsrevisjon og forvaltningsrevisjon Nærmere beskrivelse av revisjonsområdene: I forhold til Budsjett Regnskap skal det settes søkelys på risiko for feil og mangler i regnskapsavleggelsen og risiko for urealistisk budsjettering. I forhold til Kontroll av disposisjonene skal det settes søkelys på risiko for at de disposisjoner som ligger til grunn for regnskapet, ikke er i samsvar med Stortingets vedtak og forutsetninger og gjeldende regelverk, og om disposisjonene er akseptable ut fra normer og standarder for statlig økonomiforvaltning. I forhold til Årlig vurdering av virksomhetenes styring og resultatrapportering skal det settes søkelys på risiko for mangler og svakheter i mål- og resultatstyringen og risiko for manglende gjennomføring av planlagte aktiviteter og tiltak knyttet til gjennomføringen av det årlige budsjettet. I forhold til Forvaltning av eierinteresser i selskapene skal det settes søkelys på risiko knyttet til kontrollperspektivene Ivaretakelse av samfunnsmessig ansvar og sektorpolitiske mål, Effektiv og økonomisk forsvarlig drift og Etterlevelse av Stortingets vedtak og forutsetninger. I forhold til Måloppnåelse og effektivitet skal det settes søkelys på risiko for manglende måloppnåelse og effektivitet. 4. Risikostyring i Riksrevisjonen Både den overordnede styringen og den operative styringen skjer med bakgrunn i de prioriterte risikofaktorene. Fokus i styringen vil være på hvordan disse risikofaktorene er kvittert ut. Er det gjennomført tilstrekkelige handlinger til å avkrefte eller bekrefte risikofaktorene? I tilfeller der risikofaktorene dekkes av flere revisjonstyper, vil også styringen og oppfølgingen være rettet mot hvordan samordningen og samarbeidet har blitt ivaretatt. Denne måten å drive risikostyring på har blitt til underveis. Og våren 2007 skal vi for første gang rapportere i forhold til risikofaktorene. Rapporteringen vil måtte omfatte hvordan risikoen er avkreftet/bekreftet, ev. funn og hvor mye ressurser som er gått med til å løse oppdraget. Riksrevisjonen har også egne samspillverdier som er lagånd, åpenhet og respekt, og det er derfor viktig for toppledelsen også å få informasjon om hvordan samarbeidet og kunnskapsdelingen har vært særlig på områder som dekkes av flere revisjonstyper. Riksrevisjonens overordnede mål er å bidra effektivt til Stortingets kontroll og å fremme god forvaltning. Vår risikostyring skal være så god at vi får fram og prioriterer risikofaktorer som er vesentlige samtidig som vi organiserer arbeidet slik at vi utfører oppgavene våre mest mulig effektivt. Side 10 av 11
Side 11 av 11