Anvisning för intern kontroll

Transkript

1 Styrande regeldokument Anvisning Sida 1 (7) Anvisning för intern kontroll Bakgrund Lagrum och styrande förutsättningar I kommunallagens 6:e kapitel framgår att styrelsen har uppsiktsplikt över verksamheten och att de ska se till att den interna kontrollen är tillräcklig. I Regionfullmäktiges reglemente för Regionstyrelsen regleras regionstyrelsens ansvar för den interna kontrollen. Regionstyrelsen har i sin tur fastställt ansvaret för regiondirektören, divisionschefen och övriga medarbetare. Syfte Syftet med intern kontroll är att främja en fungerande ledning av Region Norrbottens verksamhet genom att förebygga och hantera risker, dra fördelar av möjligheter och starka sidor, kontinuerligt utveckla verksamheten samt utvärdera verksamhetens resultat. Intern kontroll är en del av regionens verksamhets- och ekonomistyrning. 1. Internkontrollarbetet ska säkerställa att följande uppnås: 2. Fastställda mål i budget och verksamhetsplan uppfylls. 3. Tillämpliga lagar, föreskrifter, riktlinjer m.m. följs på ett tillfredsställande sätt. 4. Verksamheten är ändamålsenlig och kostnadseffektiv med väl dokumenterade system och rutiner för styrning. 5. Rättvisande redovisning, tillförlitlig finansiell rapportering och information om verksamheten. 6. Skydd mot förluster eller förstörelse av tillgångar. 7. Eliminering eller upptäckt av allvarliga fel. 8. Ge underlag för kontinuerliga förbättringar. Såväl den politiska ledningen som verksamhetsledningen samt övrig personal samverkar i syfte att nå målen. En väl fungerande intern kontroll tjänar som skydd mot oberättigade misstankar för såväl förtroendevalda som personal. Omfattning Tillämpningsanvisningen omfattar Region Norrbotten. Roller/Ansvarsfördelning Regionstyrelsen Regionstyrelsen har det övergripande ansvaret för att se till att det finns en god intern kontroll. I ansvaret ligger att utforma regionövergripande regler

2 Sida 2 (7) och se till att gemensam planering sker. Styrelsen ska utvärdera regionens samlade system för intern kontroll, och i de fall förbättringar behövs, besluta om sådana. Styrelsen ska även informera sig om hur den interna kontrollen fungerar i divisionerna. Regiondirektören Regiondirektören ansvarar för planering och uppföljning av den interna kontrollen inom regionen och ansvarar för att tillämpningsanvisningar upprättas. Regiondirektören ska till styrelsen senast vid oktober månads utgång redovisa det kommande årets regionövergripande internkontrollmoment. Regiondirektören ska också redovisa en sammanställning av de regionövergripande internkontrollmomenten och divisionernas internkontrollmoment i regiondirektörens rapport i februari. Regiondirektören ska till styrelsen senast vid mars månads utgång rapportera resultaten av de utförda internkontrollmomenten samt de eventuella förbättringsåtgärder som vidtagits eller som planeras vidtas. Ekonomi- och planeringsavdelningen vid regiondirektörens stab ska på regiondirektörens uppdrag: Samordna kontakter med divisionerna kring intern kontroll Årligen sammanställa den interna kontrollplanen Årligen sammanställa uppföljningen av den interna kontrollplanen Ta fram och sprida information avseende intern kontroll Lämna förslag till uppdatering av tillämpningsanvisningarna Divisionschefer Divisionschefen ansvarar för planering och uppföljning av den interna kontrollen inom den egna divisionen. Divisionschefens ansvar innebär att följa upp egna mål, processer, rutiner och system samt utföra regiongemensamma kontrollmoment när så krävs. Divisionschefen ska årligen ta fram internkontrollmoment för divisionen som ska finnas med i divisionsplanen och följas upp i divisionernas delårsrapporter och årsrapporter samt i regiondirektörens rapport i februari. För de planerade kontrollmomenten ska en riskanalys enligt den regiongemensamt fastställda metoden ha gjorts. Upptäckta fel och brister samt vidtagna åtgärder ska i förekommande fall även rapporteras till berörda utanför den egna divisionen. Divisionen ska utse en representant med ansvar för kontakter med samordnare för intern kontroll vid regiondirektörens stab. Verksamhetsansvariga och medarbetare Ansvaret för att verksamheten bedrivs med en god intern kontroll ingår som en del av verksamhetsansvaret på alla nivåer i regionen och ska vara en naturlig del i alla processer och rutiner.

3 Sida 3 (7) De verksamhetsansvariga cheferna på olika nivåer i organisationen är skyldiga att följa antagna regler och anvisningar om intern kontroll samt att informera övriga medarbetare om reglernas och anvisningarnas innebörd. Vidare ska de verka för att de arbetsmetoder som används bidrar till en god intern kontroll. Alla brister som hittas via det interna kontrollarbetet ska dokumenteras och rapporteras till överordnad. Samtliga medarbetare är skyldiga att följa antagna regler och anvisningar i sin arbetsutövning. Fel och brister ska omedelbart dokumenteras och rapporteras till närmaste chef. Syftet med den omedelbara rapporteringen är att omgående kunna vidta åtgärder för att komma tillrätta med de brister som uppmärksammats. Fel eller brister ska omedelbart dokumenteras och bli föremål för utredning. Modell för arbetet med intern kontroll Regionens arbete med intern kontroll stödjer sig på den så kallade COSO 1 - modellen som är ett ramverk för intern styrning och kontroll. I COSO-modellen definieras den interna kontrollen på följande sätt: Intern kontroll kan övergripande definieras som en process, där såväl den politiska som den professionella ledningen samt övrig personal samverkar. Den utformas för att med rimlig grad av säkerhet kunna uppnå en ändamålsenlig och kostnadseffektiv verksamhet, tillförlitlig finansiell rapportering och information om verksamheten samt efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer mm. Med modellen som utgångspunkt bör den interna kontrollen, på alla nivåer i regionen, utformas. Modellen identifierar ett antal för den interna kontrollen väsentliga beståndsdelar och innefattar: 1. Kontrollmiljö 2. Riskbedömning 3. Information och kommunikation 4. Kontrollmoment 5. Övervakning och uppföljning tillsyn 1. Kontrollmiljö Kontrollmiljön skapar de grundläggande förutsättningarna för den interna kontrollen. Kontrollmiljön skapas av aktörerna i organisationen, hur dessa samverkar och vilket klimat som finns i organisationen. Tillåter klimatet en 1 Committee of Sponsoring Organizations of the Treadway Commission

4 Sida 4 (7) öppen dialog om olika problem? Viktigt för kontrollmiljön är naturligtvis också de regler och policys som finns. Kontrollmiljön påverkas också starkt av de signaler ledningen ger; hur denna agerar i olika situationer, exempelvis om regler och instruktioner inte följs. Det handlar om att skapa en kultur där samtliga är förtrogna med vilka spelregler som gäller. Det handlar också om att dela grundläggande värderingar och förhållningssätt, med andra ord organisationens etik (principer) och moral (tillämpning). Samtidigt gäller det att skapa en kultur där mål, riktlinjer och policy efterlevs samt att ansvar och befogenheter är klart definierade. Region Norrbottens verksamhetsmodell är en viktig del i definieringen av kontrollmiljön. 2. Riskbedömning Riskbedömning görs för att identifiera och bedöma de risker eller hot som verksamheten ställs inför. Det kan t ex handla om omvärldsrisker, finansiella risker, legala risker och verksamhetsrisker. De interna kontrollprocesserna ska prioritera områden med hög risk för att det ska bli fel, att organisationen inte når sina mål, inte följer lagar eller att inte finns anvisningar mm. Det är också viktigt att riskbedömningen präglas av mångsidighet, för att föregripa eventuella risker innan de inträffar. I riskanalysen ingår att identifiera potentiella risker eller felkällor, göra en bedömning av konsekvenserna samt i vilken grad riskerna kan kontrolleras. Det handlar således om en väsentlighets- och riskbedömning. 3. Kontrollmoment Kontrollmoment är de konkreta aktiviteter som vidtas för att motverka, minimera eller helst eliminera de risker som finns. Det kan också röra sig om att säkerställa beredskap för att kunna hantera eller reagera på situationer som uppstår till följd av att olika händelser inträffar. Kontrollmomenten kan grupperas på flera sätt; vara preventiva eller utgöras av efterhandskontroller, vara resultat- eller rutinorienterade. 4. Information och kommunikation Information och kommunikation som fungerar på ett bra sätt, mellan aktörer och olika organisatoriska nivåer, är en viktig förutsättning för en effektiv intern kontroll. Det handlar om att ha kontroll över verksamhet, processer samt resurser. Ledningen på olika nivåer måste säkerställa att den information som krävs för att styra, följa upp rapportera verksamheten erhålls. Av denna anledning är effektiva och ändamålsenliga rapport- och uppföljningssystem vitala. 5. Uppföljning och utvärdering Uppföljning och utvärdering handlar om att följa upp beslutade mål samt hur den interna kontrollen utvärderas och utvecklas. Syftet är att kontinuerligt utvärdera kontrollsystemet för att säkerställa att detta fungerar på avsett sätt. Ett aktivt arbete i form av tillsyn över processerna för intern kontroll leder till en kontinuerlig kvalitetssäkring av verksamheten.

5 Sida 5 (7) Upprättande av internkontrollplan Internkontrollplan ska upprättas dels på regionövergripande nivå och på divisionsnivå. Regionövergripande internkontrollplan Den regionövergripande internkontrollplanen är en sammanställning av de regionövergripande områden som vid en riskbedömning har bedömts ska följas upp särskilt under det kommande året. Riskbedömningen ska utföras enligt en gemensam modell för riskbedömning. Internkontrollplanen ska senast antas vid regionstyrelsens oktobersammanträde. Den regionövergripande internkontrollplanen innehåller kontrollmoment inom områdena: 1. Strategiska mål I samband med att regionstyrelsens plan tas fram ska det göras en bedömning av hur stor risken är att målen inte uppnås. Utifrån riskbedömningen tas områden fram som leder till särskild uppföljning, uppdrag eller internkontrollmoment. 2. Lagar, riktlinjer, rapportering, verkställighet och etik Riskinventering och riskbedömning görs i regiondirektörens stab. Utifrån riskbedömningen väljs kontrollmoment som läggs in i regionstyrelsens internkontrollplan. Kontrollmomenten ska vara inom områdena: Efterlevnad av lagar, föreskrifter, riktlinjer mm Tillförlitlig finansiell rapportering och information om verksamheten Verkställighet av beslut Etik, korruption och oegentligheter Kontrollmomenten genomförs av regiondirektörens stab eller av divisionerna. Divisionens internkontrollplan Divisionens internkontrollplan är en sammanställning av de kontrollområden som vid en riskbedömning har bedömts ska följas upp särskilt under det kommande året. Riskbedömningen ska utföras enligt den beskrivna metoden för riskbedömning nedan. Divisionernas internkontrollplan ska finnas med i divisionsplanen och redovisas i regiondirektörens rapport i februari. Divisionernas internkontrollplaner innehåller åtgärder/kontrollmoment inom områdena: 1. Divisionens mål I samband med att divisionsplanen tas fram ska det göras en bedömning av hur stor risken är att målen inte uppnås. Utifrån riskbedömningen tas områden fram som leder till särskild uppföljning, uppdrag eller internkontrollmoment.

6 Sida 6 (7) 2. Divisionens processer Divisionernas ska ta fram egna kontrollmoment med utgångspunkt från verksamheternas processer/områden. Kontrollmomenten ska tas fram genom en riskinventering och riskbedömning. Metod för riskbedömning Med riskbedömning menas att skatta sannolikheten att fel uppstår och den konsekvens det för med sig. Nedanstående matris ska användas vid riskbedömningen. Bedömningen ska göras på ett enhetligt sätt varje år. Riskmatrisen åskådliggör hur risker skattas och fördelas utifrån allvarlighetsgrad. I princip är det områden med riskvärde 9 och högre som ska bli föremål för kontroll och läggas in i kommande kontrollplan. Konsekvens Katastrofal (4) - är så stor att fel inte får inträffa Betydande (3) - uppfattas som besvärande för intressenter/region Norrbotten Måttlig (2) - uppfattas Mindre (1) - är som liten av intressenter/ obetydlig för Region Norrbotten intressenter/ Region Norrbotten Sannolikhet Mycket stor (4) - det är mycket troligt att fel ska uppstå Stor (3) - det finns en möjlig risk för att fel ska uppstå grön Inget agerande krävs. Vi accepterar riskern gul Håll under uppsikt. Uppmärksamhet krävs Liten (2) - risken är mycket liten för att fel ska orange Reducera riskerna. Åtgärda uppstå Mycket liten (1) - risken är praktiskt taget obefintlig för att fel ska uppstå röd Direkt åtgärd krävs. Minimera riskerna Matris från Handbok för Riskanalys och händelseanalys, SKL Bedömning av sannolikheten Bedömningstal Sannolikhet Bedömningskriterier 4 Mycket stor Kan inträffa varje dagligen, förekommer ofta 3 Stor Kan inträffa varje vecka 2 Liten Kan inträffa varje månad 1 Mycket liten Kan inträffa 1 gång/år eller mer sällan Bedömning av konsekvens (allmän) Mindre - Försumbar ingen eller ringa påverkan på 1 den slutliga kvaliten eller resultatet 1 Bedömning av konsekvens (vårdrelaterad) Bedömningstal Bedömningskriterier Bedömningstal Bedömningskriterier Katastrofal - Mycket allvarlig- betydande påverkan i 4 produktion eller människor (t ex dödsfall, konkurs, miljökatastrof även säkerhet och att lagkrav ej 4 uppfylls etc). Betydande- betydande utebliven produktnytta eller 3 allvarliga avbrott i efterföljande produktion (t ex större arbetsmiljö påverkan, skada med kroniska 3 besvär, stor ekonomisk förlust, stor miljöpåverkan etc) Måttlig - mindre påverkan (t ex lindriga, mindre 2 ekonomisk förlust, litet utsläpp etc) 2 Dödsfall/självmord, bestående stor funktionsnedsättning (sensorisk, motorisk, fysiologisk, intellektuell eller psykologisk) Bestående måttlig funktionsnedsättning (sensorisk, motorisk, fysiologisk, intellektuell eller psykologisk) Övergående funktionsnedsättning (sensorisk, motorisk, fysiologisk, intellektuell eller psykologisk) Förlängd vårdepisod för en eller två patienter. Förhöjd vårdnivå Obehag eller obetydlig skada.

7 Sida 7 (7) Mallar Anvisade mallar från Ekonomi- och planeringsavdelningen ska användas vid riskinventering och riskbedömning och upprättandet av internkontrollplanen. Mallarna ska minst innehålla: Genomförd riskbedömning (enligt fastställd riskmatris nedan) Vilka kontrollmoment som ska genomföras Omfattningen på uppföljningen (frekvensen) Vem som ansvarar för att utföra uppföljningen Riskägare (chefsnivå) Till vem uppföljningen ska rapporteras När rapportering ska ske Uppföljning och rapportering av internkontroll Regiondirektören ska till regionstyrelsen senast vid mars månads utgång i redogöra för resultaten av föregående års internkontrollmoment samt de eventuella förbättringsåtgärder som vidtagits eller planeras. Divisionernas uppföljning av internkontrollmomenten görs i anvisad mall för intern kontroll och sammanställs sedan av ekonomi- och planeringsavdelningen. Rapportering av särskild uppföljning, uppdrag mm utifrån de strategiska målen görs i divisionernas delårs-/årsrapporter.