Policy för internkontroll för Stockholms läns landsting och bolag

Transkript

1 Policy för internkontroll för Stockholms läns landsting och bolag Policy för internkontroll för Stockholms läns landsting och bolag

2 2 (6) Innehållsförteckning Policy för internkontroll... 1 för Stockholms läns landsting och bolag... 1 Policy för internkontroll för Stockholms läns landsting och bolag Bakgrund Syfte Organisation och ansvar... 4 Landstingsfullmäktige... 4 Landstingsstyrelsen... 4 Nämnder och bolagsstyrelser... 4 Förvaltningschefer och bolagschefer... 4 Medarbetares ansvar... 4 Stiftelser... 4 Revisorernas roll Internkontroll Innehåll intern kontrollplan Uppföljning och rapportering Tolkning av styrdokument Tillämpad arbetsmodell... 6

3 3 (6) 1. Bakgrund Internkontroll omfattar en struktur av policys, processer, rutiner och organisation. Den interna kontrollen inom nämnder och styrelser ska bygga på en helhetssyn avseende landstingets verksamhet och mål. Detta innebär att den interna kontrollen ska omfatta mål, strategier, styrning samt uppföljning. Inom dessa områden ska det finnas inbyggda kontroll- och uppföljningssystem som säkrar en effektiv förvaltning och förebygger allvarliga fel eller förluster. Kommunallagen 6 kap. 7 lyder: Nämnderna skall var och en inom sitt område se till att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige har bestämt samt de föreskrifter som gäller för verksamheten. De skall också se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt. Detsamma gäller när vården av en kommunal angelägenhet med stöd av 3 kap. 16 har lämnats över till någon annan. Lag (1999:621). Dessutom uttrycks i 6 kap. 1 att det är kommunstyrelsens ansvar att leda, samordna och ha uppsikt över sin egen och nämndernas verksamhet. I en skrift från Sverigens kommuner och landsting ( På den säkra sidan, 2009), beskrivs internkontroll på följande sätt: Den interna kontrollen handlar om att på en rimlig nivå säkerställa: att verksamheten lever upp till målen och är kostnadseffektiv, det vill säga god ekonomisk hushållning, att informationen om verksamheten och om den finansiella rapporteringen är ändamålsenlig, tillförlitlig och tillräcklig, att de regler och riktlinjer som finns följs, att möjliga risker inringas, bedöms och förebyggs. För att allt detta ska kunna säkerställas blir det uppenbart att den interna kontrollen behöver vara en integrerad del av det vardagliga arbetet. För landstingets bolag gäller motsvarande enligt aktiebolagslagen och riktlinjer fastställda av fullmäktige. 2. Syfte Det övergripande syftet med denna policy för internkontroll är att Stockholms läns landsting har ett generellt synsätt som möjliggör ett enhetligt sätt att utvärdera den interna kontrollen i alla dess delar samt att genom detta dokument tydliggöra landstingets grundprinciper avseende internkontroll.

4 4 (6) Internkontroll är en process som syftar till att följande mål uppnås: Ändamålsenlig, kostnadseffektiv och säker verksamhet. Tillförlitlig ekonomisk och finansiell rapportering och Information. Efterlevnad av tillämpliga lagar och föreskrifter m.m. 3. Organisation och ansvar Landstingsfullmäktige Landstingsfullmäktige har övergripande ansvar och beslutar i ärenden av principiell beskaffenhet och av större vikt såsom policy för internkontroll. Landstingsstyrelsen Landstingsstyrelsen leder och samordnar landstingets angelägenheter samt har uppsikt över dess nämnder och bolag. Landstingsstyrelsen har det övergripande ansvaret för att skapa en organisation för internkontroll och följa upp att styrning och kontroll fungerar tillfredsställande. Landstingsstyrelsen ansvarar för uppföljningen av policy för internkontroll och för att vid behov föreslå landstingsfullmäktige nödvändiga uppdateringar samt för att utforma riktlinjer och anvisningar för tillämpning av nämnda policy. Nämnder och bolagsstyrelser Nämnder och bolagsstyrelser har ansvar för den interna kontrollen inom sitt verksamhetsområde med utgångspunkt i beslut fattade av landstingsfullmäktige och landstingsstyrelsen. Förvaltningschefer och bolagschefer Förvaltningschefer och verkställande direktörer ansvarar för att i enlighet med landstingets policy för internkontroll utforma konkreta och lokala regler och anvisningar för att upprätthålla en god internkontroll. Dessa regler ska antas av nämnd respektive styrelse. Förvaltningschefen alternativt den verkställande direktören ska löpande avrapportera till nämnden eller styrelsen om hur den interna kontrollen fungerar. Medarbetares ansvar Varje anställd ansvarar för att bidra till en god internkontroll och för att upptäckta fel och brister kommer till berörd chefs kännedom. Stiftelser Stiftelser, som landstinget ensamt har ett bestämmande inflytande över, rekommenderas att följa landstingets policy för internkontroll.

5 5 (6) Revisorernas roll Landstingsrevisorernas roll är att granska och bedöma om ansvariga nämnder och styrelser utövar kontroll som är tillfredsställande och tillräcklig för att landstingets verksamhet ska kunna bedrivas effektivt och om gällande riktlinjer för internkontroll efterlevs. Landstingsrevisorernas bedömning ligger till grund för ansvarsprövning. 4. Internkontroll 4.1 Innehåll intern kontrollplan Utifrån en risk- och väsentlighetsanalys ska förvaltnings- eller bolagschefen välja ut ett antal områden som särskilt bearbetas under verksamhetsåret för att verifiera att mål uppnås samt att riktlinjer och fastlagda kontroller upprätthålls alternativt genomförs. Förvaltnings- eller bolagschefen ska se till att risk- och väsentlighetsanalyser genomförs och dokumenteras och med dessa som underlag upprätta förslag till internkontrollplan. En väl genomförd riskoch väsentlighetsanalys ska tydliggöra vilka hot som föreligger som följd av påverkbara eller opåverkbara risker och som kan inverka på verksamhetens möjlighet att uppnå uppsatta mål. Nämnder och styrelser ska varje år anta en särskild plan för uppföljning av den interna kontrollen för att följa upp att det interna kontrollsystemet fungerar tillfredsställande inom nämndens eller styrelsens verksamhet. Den interna kontrollplanen ska minst innehålla: Vilka rutiner och kontrollmoment som ska följas upp Genomförd riskbedömning Omfattningen och frekvensen av uppföljningen Vem som ansvarar för att utföra uppföljningen När rapportering ska ske Åtgärdsplan. 4.2 Uppföljning och rapportering Landstingsstyrelsen har det övergripande ansvaret för att se till att det finns en god internkontroll i hela landstingskoncernen. Detta innefattar ansvar att se till att statusen på den interna kontrollen följs upp och avrapporteras i enlighet med landstingsstyrelsens utgivna anvisningar. Nämnd och styrelse ska försäkra sig om att den interna kontrollplanen genomförs och vid behov vidta åtgärder som säkerställer att den interna kontrollen är tillräcklig. Förvaltnings- och bolagschef ska regelbundet rapportera till nämnd respektive styrelse om hur den interna kontrollplanen genomförs, hur den interna kontrollen fungerar samt föreslå nämnden respektive styrelsen erfor-

6 6 (6) derliga åtgärder för att säkerställa att den interna kontrollen är tillräcklig. Brister i den interna kontrollen ska omedelbart rapporteras till nämnd respektive styrelse. Vid misstanke om brott ska nämnden alternativt styrelsen utan oskäligt dröjsmål vidta åtgärder. Förvaltnings- eller bolagschefen ska omedelbart informera nämnden repektive styrelsen, landstingets koncernledning samt landstingsrevisorerna om det uppdagas omständigheter som medför att misstanke om allvarligt brott föreligger. Respektive förvaltning och bolag ska i samband med delårsrapporering och årsbokslut rapportera statusen på den interna kontrollen i enlighet med landstingsstyrelsens anvisningar. Dessutom ska respektive förvaltningschef eller bolagschef i samband med detta avge försäkran att nödvändiga åtgärder vidtagits för att uppnå en tillräcklig internkontroll. 5. Tolkning av styrdokument Om befintliga styrdokument strider mot varandra ska, om så erfordras, tolkning föreläggas landstingsdirektören för avgörande. 6. Tillämpad arbetsmodell Landstinget tillämpar COSO-modellen 1, ett internationellt tillämpat ramverk för att beskriva den interna kontrollen. Intern styrning och kontroll definieras enligt COSO som en process där styrelse, ledning och övrig personal samverkar och som med rimlig grad av säkerhet ska se till att verksamhetens mål uppnås avseende: Effektiv och ändamålsenlig verksamhetsstyrning Tillförlitlig finansiell rapportering Efterlevnad av tillämpliga lagar, förordningar och interna regler. Gällande stöd- och styrdokument finns publicerade på SLL intranät, stöd- och styrdokument. COSO-modellen beskrivs i bilaga 1. 1 Committee of Sponsoring Organizations of the Treadway Commission

7 1 (2) COSO-modellen COSO-modellen tar sin utgångspunkt i verksamhetens mål och kan beskrivas i nedanstående delar: Kontrollmiljö Riskanalys Kontrollaktiviteter Information och kommunikation Övervakning Verksamhetsstyrning Finansiell rapportering Lagar och förordningar Kontrollmiljö Kontrollmiljön är basen för den interna kontrollen. I denna bas ingår såväl interna som externa krav på och förutsättningar för, verksamheten. För att påverka och utveckla kontrollmiljön krävs en helhetssyn där några väsentliga system beaktas, däribland: det sociala systemet (personalens erfarenhet, kompetens, attityd och värdering, organisationsklimat samt styrning) det organisatoriska och administrativa systemet (riktlinjer, ansvars- och befogenhetsfördelning) det politiska systemet (den politiska styrningen) det tekniska systemet (hjälpmedel, IT-system, rutiner mm.). Riskanalys Riskanalys innebär bedömning och analys av riskerna för att inte uppnå fastställda mål. Den interna kontrollens omfattning och utformning anpassas med utgångspunkt från bedömda risker. Ett kostnadseffektivt synsätt kräver att åtgärden för att säkerställa den interna kontrollen ställs i relation till bedömda risker och dess konsekvenser. God sed för riskhantering är att rapporterande enheter underbygger sina riskbedömningar med hjälp av indikatorer, som kan ge tidiga varningssignaler respektive bekräfta att ledningen har kontroll över verksamhetens utveckling. Att identifiera och analysera risker ska vara en ständigt pågående process. Riskbedömningen ska syfta till att föregripa risker. Det är därför väsentligt att riskbedömningen präglas av mångsidighet. Kontrollprocesserna ska prioritera områden där det föreligger hög risk att det uppstår fel och brister. Riskbedömningen går ut på att identifiera och bedöma de risker eller hot som nämnd eller styrelse ställs inför för att uppnå och förverkliga sina mål.

8 2 (2) Exempel på risker kan vara: Omvärldsrisker Finansiella risker Legala risker IT-baserade risker Verksamhetsrisker Redovisningsrisker Bristande efterlevnad av regelverk Risk för förtroendeskada. Kontrollaktiviteter Kontrollaktiviteter består av många olika typer av åtgärder och återfinns i organisation, processer och rutiner. De omfattar t ex budgetering, policys, ansvars- och arbetsfördelning, attestregler och inbyggda kontroller av olika slag. Information och kommunikation En väl underbyggd, relevant och tillförlitlig intern information är en förutsättning för en effektiv verksamhet. Effektiviteten innebär att det sker ett relevant och korrekt informationsutbyte mellan olika nivåer i rätt tid. Till exempel är det väsentligt att personalen hålls underrättad om väsentliga händelser samt att det finns kanaler för den enskilde medarbetaren att informera ledningen om omständigheter som medför risk. Vad gäller den externa kommunikationen ska effektiva kommunikationsvägar finnas med externa intressentgrupper. Övervakning Uppföljning av den interna kontrollen kan ske genom: Löpande uppföljning Separata utvärderingar Övervakande funktioner och rutiner som byggs in i organisationen genom olika rutiner. Utgångspunkten för uppföljning är att kontrollera om målen uppnås och ska vid behov resultera i att korrigerande åtgärder vidtas i syfte att eliminera oönskade effekter. Uppföljningen bör också innefatta bedömning om styrmiljön påverkats positivt, om riskerna blivit mindre genom vidtagna åtgärder och om åtgärderna varit ändamålsenliga och effektiva.