Rapport intern styrning och kontroll Karolinska Institutet 2012

Transkript

1 Rapport intern styrning och kontroll Karolinska Institutet 2012 Dnr 1-25/2013 Ulla-Karin Kinell Verksamhetscontroller

2 INNEHÅLL 1 Sammanfattning Rektors bedömning Inledning Utfört arbete under Intern miljö Information och kommunikation Riskanalys Sammanfattning av årets arbete Ledningsgruppens förslag på övergripande riskanalys till Konsistoriet Konsistoriets fastställda riskanalys Förändringar jämfört med KI:s fördjupade riskanalys Kontrollåtgärder Åtgärder utifrån extern kvalitetsutvärdering av forskning vid KI (ERA) Åtgärder utifrån bedömning av kvalitetsarbetet vid KI Högskoleverkets kvalitetsutvärderingar Uppföljning Målkonflikter mellan KI och SLL Hot och sabotage mot djuranläggningar Utbildningens prioritering och integrering mellan forskning och utbildning Revision och tillsyn Dokumentation Utgivare: Karolinska Institutet Universitetsförvaltningen Version: Slutlig

3 Rapport intern styrning och kontroll Karolinska Institutet (10) 1 Sammanfattning Karolinska Institutet (KI) har en process kring arbetet med intern styrning och kontroll utformad enligt regler och riktlinjer fastställda av Konsistoriet. Mer detaljerade interna föreskrifter har beslutats av rektor i form av anvisningar. Under verksamhetsåret 2012 har arbetet genomförts med de obligatoriska momenten riskanalys, kontrollåtgärder, uppföljning och dokumentation enligt förordning (2007:603) om intern styrning och kontroll. En översyn av KI:s styrmodell i syfte att effektivisera och kvalitetssäkra verksamhetsplaneringen och den interna styrningen och kontrollen har fortsatt under året. KI:s förslag till myndighetsövergripande riskanalys har utarbetats utifrån ett aggregerat underlag av ledningsgruppen den 23 oktober 2012 med en värdering av 41 risker. Konsistoriet har utifrån underlaget den 12 november 2012 fattat beslut om riskanalys inför nästkommande verksamhetsår. De tre högst värderade riskområdena är: bristfälliga moderna tekniska plattformar och verktyg inom utbildningen, otillräcklig omställning vid KI utifrån förändringar i sjukvården, forskningsfusk. Konsistoriet fattade den 17 december 2012 beslut om kontrollåtgärder för Tidigare beslutade kontrollåtgärder har följts upp vid två tillfällen avseende verksamhetsåret En sammanvägd bedömning är att: inom områdena hot och sabotage mot infrastruktur, utbildningens prioritering och integrering mellan forskning och utbildning, tekniska plattformar för forskning och utbildning, bristande kvalitet i utbildningen, forskningsdokumentation, styrmodellen, informationssäkerhet och IT samt arbetsmiljö krävs fortsatta kontrollåtgärder för att minska riskerna, för områdena samarbete mellan KI och Stockholms läns landsting (SLL), kvalitetssäkring av forskarutbildning och utbildning avseende examinationsrätt, bisyssleregler, lokalplanering, laboratoriesäkerhet, rekrytering, upphandling, kommunikation och kontinuitetsplanering kan konstateras att vidtagna åtgärder har minskat riskerna. Konsistoriet har under året beslutat om kontrollåtgärder för att stärka den interna styrningen och kontrollen med anledning av Riksrevisionens, internrevisionens och andra tillsynsorgans rapporter och rekommendationer. KI bedömer att flertalet pågående kontrollåtgärder och risker är kontinuerligt återkommande och kräver långsiktiga lösningar. Åtgärderna bör därför integreras ytterligare i myndighetens styrnings- och uppföljningssystem. I internrevisionens årsrapport för 2012 konstateras att hittills utvecklade arbetsformer börjar bidra till en effektivisering av verksamhetsstyrningen.

4 Rapport intern styrning och kontroll Karolinska Institutet (10) 1.1 Rektors bedömning KI har under 2012 utfört de obligatoriska moment som föreskrivs i enlighet med förordning (2007:603) intern styrning och kontroll. Mot bakgrund av fastställd riskanalys samt utfört och planerat arbete med kontrollåtgärder föreslår rektor Konsistoriet, att i årsredovisningen för år 2012, göra bedömningen att den interna styrningen och kontrollen vid KI är betryggande. 2 Inledning KI:s ledning, Konsistoriet, ansvarar inför regeringen för verksamheten. Av de så kallade verksamhetskraven i myndighetsförordningen (2007:515) framgår att det är ledningens ansvar att se till att verksamheten bedrivs effektivt, enligt gällande rätt och de förpliktelser som följer av Sveriges medlemskap i Europeiska unionen, att den redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel 1. Av högskoleförordningen framgår även att Konsistoriet är ansvarigt för att det vid KI finns en intern styrning och kontroll som fungerar på ett betryggande sätt 2. Detta ansvar manifesteras i form av en bedömning av den interna styrningen och kontrollen som Konsistoriet ska göra i samband med undertecknandet i årsredovisningen 3. Konsistoriet har den 12 november 2012 beslutat om framtagande av relevant dokumentation inför undertecknandet i årsredovisningen Föreliggande rapport innehåller rektors förslag på bedömning till Konsistoriet huruvida den interna styrningen och kontrollen kan anses vara betryggande utifrån planerat och utfört arbete vid KI Utfört arbete under 2012 Årets arbete har huvudsakligen utgått från beslutade regler och riktlinjer 4 med anvisningar 5 för intern styrning och kontroll vid KI samt årsplan för verksamhetsstyrning 6 och anvisningar för verksamhetsplanering inför Ett arbete har fortsatt under året i syfte att effektivisera, kvalitetssäkra och integrera processen kring den interna styrningen och kontrollen samt verksamhetsplanering och uppföljning. Samordningen av detta arbete sker vid ledningskansliet på universitetsförvaltningen. Redovisningen nedan utgår från förordningens obligatoriska moment; riskanalys, kontrollåtgärder, uppföljning och dokumentation. Då såväl 1 Verksamhetskraven framgår av 3 myndighetsförordningen (2007:515). 2 2 kap. 2 2 p. högskoleförordningen (1993:100). 3 2 kap. 8 förordningen (2006:605) om årsredovisning och budgetunderlag. 4 Regler och riktlinjer för intern styrning och kontroll vid KI (dnr 1795/ ). 5 Anvisningar för intern styrning och kontroll vid Karolinska Institutet (dnr 2740/ ). 6 Årsplan för verksamhetsstyrning vid Karolinska Institutet (dnr 882/ ). 7 Anvisningar för Karolinska Institutets verksamhetsplanering inför 2013 (dnr 2008/ ).

5 Rapport intern styrning och kontroll Karolinska Institutet (10) myndighetens interna miljö som information och kommunikation hänger samman med de övriga momenten i förordningen är det naturligt att även beakta detta i rapporteringen. 3.1 Intern miljö KI har under året genomfört en rekryteringsprocess inför tillsättandet av ny rektor och prorektor för myndigheten. En omfördelning av ledningsansvar för vissa verksamhetsområden har därmed aktualiserats. SLL är KI:s viktigaste samarbetspartner då det är av grundläggande betydelse att den medicinska forskningen och utbildningen får tillgång till hälso- och sjukvården. KI:s beredning av samverkansfrågor har förstärkts dels internt genom en operativ styrgrupp under rektorsrådet för klinisk forskning och utbildning, dels via en utökad representation inom ramen för SLL:s förändringsarbete. Utifrån effektivitets- och besparingskrav har universitetsförvaltningen under hösten 2012 haft uppdraget att genomföra en omorganisering. Den nya organisationen som fastställdes i november månad utgör ett led i ett effektivare stöd till kärnverksamheten och verksamhetsstyrelserna samt ökad resultatorientering. Omorganiseringen syftar även till ökad samordning för att bättre kunna beakta viktigare rekommendationer från olika revisionsorgan. Konsistoriet har den 11 oktober 2012 uppdragit åt rektor att genomföra en genomgripande översyn av den administrativa organisationen vid KI och återkomma med redogörelse i april månad Information och kommunikation Ett förslag till övergripande strategi och plan för KI:s internkommunikation har utarbetats under 2012 omfattande en förändrad webborganisation. En ny internwebb har lanserats i mars månad. Aktiviteter för att stärka kommunikativt ledarskap planeras. Implementeringen av verksamhetsinformationssystemet (VIS) har fortsatt att utvecklas under året där den första lanseringen omfattar funktioner som gör det möjligt att följa utbildningsuppdrag och ta del av viss personalstatistik. På sikt är målsättningen att få ett användarvänligt verktyg som stöd för uppföljning, analys och styrning av verksamheten vid KI. I systemet ska man kunna ta del av nyckeltal, kvalitetsindikatorer och kvantitativ information om KI:s och respektive institutions verksamhet. 3.3 Riskanalys Sammanfattning av årets arbete Utgångspunkten för riskanalysarbetet är KI:s uppdrag i enlighet med högskolelag och högskoleförordning, regleringsbrev samt universitetets

6 Rapport intern styrning och kontroll Karolinska Institutet (10) utvecklingsstrategi för åren 2010 till Institutioner och verksamhetsstyrelser ska årligen genomföra och fastställa riskanalyser för den verksamhet de är ansvariga för. En mer genomgripande analys ska genomföras vart tredje år, vilket har infallit under Resultatet av detta arbete har inneburit att: samtliga institutioner, verksamhetsstyrelser samt komparativ medicin, KI:s universitetsbibliotek och universitetsförvaltning har genomfört workshops där sammanlagt 453 identifierade risker har värderats 9, riskvärderingarna har föregåtts av intervjuer med ett 60-tal personer för att identifiera presumtiva riskområden, genomförda workshops har resulterat i en bedömning av cirka 150 risker som kräver KI-övergripande ställningstaganden 10. Dessa 150 risker har sammanförts till 41 riskområden 11, kompletterande individuella intervjuer med KI:s ledningsgrupp har gjorts för att identifiera områden som kan ha fallit bort, KI:s ledningsgrupp har i workshop den 23 oktober 2012 värderat en sammanfattande lista om 40-talet riskområden med förslag till konsistoriet på prioritering och hantering 12, Konsistoriet har beslutat om KI:s riskanalys inför 2013 utifrån ledningsgruppens förslag med en mindre justering Ledningsgruppens förslag på övergripande riskanalys till Konsistoriet Förslag till KI:s övergripande riskanalys för budgetåret 2013 har utarbetats vid en workshop i rektors ledningsgrupp den 23 oktober 2012 där en värdering har gjorts av ett aggregerat underlag utifrån KI:s samtliga riskanalyser. Status vid uppföljning av kontrollåtgärder, väsentliga revisions- och tillsynsrapporter samt tidigare beslutade riskområden har beaktats. Underlaget har korrigerats och kompletterats med ytterligare ett riskområde under workshopen. I förslaget hur riskerna ska hanteras har graderingen acceptera, övervaka eller begränsa använts. En risklista omfattande 42 myndighetsövergripande risker presenterades för Konsistoriet den 12 november 2012 som efter en mindre revidering, fattade beslut i enlighet med ledningsgruppens förslag Konsistoriets fastställda riskanalys I den av Konsistoriet fastställda riskanalysen för år 2013 har elva riskområden identifierats där ett särskilt behov av riktade kontrollåtgärder föreligger: 8 Strategi 2012, Karolinska Institutets utvecklingsstrategi (dnr 05728/2009). 9 Risklista samtliga workshops vid KI. 10 Risklista som kräver KI-övergripande ställningstaganden. 11 Sammanförd lista inför ledningsgruppens värdering den 23 oktober Inför Karolinska Institutets riskanalys 2013 (dnr 6754/ ). 13 Konsistoriets beslut den 12 november 2012 om KI:s riskanalys för 2013 (protokoll 2012:5).

7 Rapport intern styrning och kontroll Karolinska Institutet (10) Forskning Utbildning forskningsfusk, begränsade möjligheter till klinisk forskning och utbildning, bristfällig medicinsk informatik KI/SLL, bristande forskningsdokumentation, begränsande regelverk kring registerdata och djurverksamhet. förlust av examinationsrätt, otillräcklig lärartillgång, bristande moderna tekniska plattformar och verktyg, begränsade möjligheter till klinisk forskning och utbildning, Administration, styrning och stöd otillräcklig omställning vid KI utifrån förändringar i sjukvården, återkrav på grund av bristfällig hantering av medel och redovisning till externa finansiärer. bristande efterlevnad av lagen om offentlig upphandling, En sammanfattande bedömning är att resultatet av genomförd riskanalys under 2012 är mer genomarbetad då fler representanter har deltagit i arbetet såväl från verksamhetsstyrelser som på institutionsnivå med stöd av ledningskansliet Förändringar jämfört med KI:s fördjupade riskanalys 2009 Över tid, sedan år 2008 då KI genomförde den första riskanalysen, har antalet kontrollåtgärder som ska följas upp ökat. Arbetet att göra adekvata uppföljningar, jämförelser och tydliga anvisningar till så kallade riskägare har blivit alltmer komplext. I brist på överskådlighet av dokumentation finns en risk att bedömningar och prioriteringar inte kan kvalitetssäkras. Mot denna bakgrund har Konsistoriet fattat ett helt nytt beslut om KI:s risker 2013 som ersätter tidigare områden. 3.4 Kontrollåtgärder Utifrån genomförd riskanalys 2011 Konsistoriets beslutade vid sitt sammanträde den 19 december 2011 om kontrollåtgärder som skulle vidtas under Områdena utifrån 2011 års riskanalys omfattade samarbetet mellan KI och SLL, hot och sabotage mot infrastruktur, informationssäkerhet och IT, kvalitetssäkring av forskarutbildningen, styrmodellen, rekrytering, tekniska plattformar för 14 Konsistoriets beslut om kontrollåtgärder 2012, 19 december 2011 (dnr 7277/ ).

8 Rapport intern styrning och kontroll Karolinska Institutet (10) utbildning, arbetsmiljö, forskningsdokumentation, upphandlingsverksamhet, kommunikation och kontinuitetsplanering. Utifrån genomförd riskanalys 2012 Utifrån den fördjupade riskanalys som har genomförts 2012 har Konsistoriet den 17 december beslutat om tillhörande kontrollåtgärder för år Rektor har uppdraget från Konsistoriet att vidta adekvata kontrollåtgärder samt återkomma regelbundet med information om hur arbetet fortskrider. Riskägare har utsetts för de olika områdena med uppdrag att vidta åtgärder i syfte att reducera identifierade och värderade risker Åtgärder utifrån extern kvalitetsutvärdering av forskning vid KI (ERA) I tidigare plan för kvalitetsarbetet vid KI år fastställd av Konsistoriet, finns angivet att en extern utvärdering av KI:s forskning skulle göras i syfte att identifiera och lyfta fram förbättringar och förutsättningar för forskning. Den 10 oktober 2011 presenterade Styrelsen för forskning för Konsistoriet en rapport innehållande ställningstaganden och rekommendationer utifrån kvalitetsutvärderingen. Ett andra uppföljningsbesök vid samtliga institutionsledningar har gjorts under hösten 2012 där dekanus för forskning har haft en genomgång av erfarenheter och inhämtat synpunkter. En sammanfattande bedömning är att åtgärder har börjat vidtas enligt tidigare lämnade rekommendationer utifrån kvalitetsutvärderingen Åtgärder utifrån bedömning av kvalitetsarbetet vid KI 2011 En extern bedömargrupp har under 2011 avlämnat en rapport innehållande rekommendationer bland annat inom ett antal viktiga förbättringsområden avseende KI:s kvalitetsarbete för utbildningsverksamheten 17. Styrelsen för utbildning har under år 2012 beslutat om åtgärder utifrån de rekommendationer som framkommit. En ny kursvärderingsenkät har tagits fram i början av år 2012 för att användas vid KI:s alla program och fristående kurser där implementeringen är under utvärdering. KI:s webbplats har kompletterats med ytterligare information om kvalitetsarbete inom utbildningar på grund- och avancerad nivå för bättre återkoppling till KI:s studenter och personal. För att bättre kunna bedöma, analysera och jämföra kvalitetsarbetet i verksamheten har kvalitetsindikatorer och nyckeltal tagits fram Högskoleverkets kvalitetsutvärderingar Högskoleverkets har i samband med kvalitetsutvärderingar 2012 beslutat om det samlade omdömet bristande kvalitet för biomedicinsk analytikerexamen och kandidatexamen i biomedicinsk laboratorievetenskap samt optikerprogrammet. 15 Konsistoriets beslut om kontrollåtgärder 2013, 17 december 2012 (dnr 7475/ ). 16 Plan för kvalitetsarbetet vid Karolinska Institutet 2009 (dnr 874/09-000). 17 Bedömning av kvalitetsarbetet vid Karolinska Institutet 2011 (dnr 446/ ).

9 Rapport intern styrning och kontroll Karolinska Institutet (10) Styrelsen för utbildning har i augusti och december beslutat om åtgärdsplaner med anledning av HSV:s iakttagna brister Uppföljning Processen för intern styrning och kontroll måste följas upp och utvärderas för att avgöra om den fungerar på ett över tiden hållbart sätt. Konsistoriet måste kunna försäkra sig om att riskanalys och därmed sammanhängande kontrollåtgärder är adekvata. Kontrollåtgärderna syftar till att minska riskerna till en för myndigheten acceptabel nivå. Uppföljningen syftar också till att ge svar på vilka slutsatser som kan dras inför bedömningen av den interna styrningen och kontrollen i årsredovisningen. Under året har beslutade kontrollåtgärder följts upp under november och inför intygandet i årsredovisningen, där väsentliga resultat redovisats för Konsistoriet. Uppföljningen har skett genom regelbunden inhämtning av skriftliga rapporter från och intervjuer av särskilt utsedda ansvariga för vidtagna åtgärder. De uppgifter som har inhämtats har i möjligaste mån verifierats genom olika underlag. I Statusrapport kontrollåtgärder har Konsistoriet vid möte den 18 februari 2013 informerats om samtliga vidtagna åtgärder och en bedömning av hur dessa påverkat identifierade och värderade risker 19. Nedan följer en kort redogörelse för vidtagna kontrollåtgärder avseende de risker som värderats högst i riskanalysen Målkonflikter mellan KI och SLL Samverkan mellan KI och SLL har över åren reglerats och organiserats på olika sätt, trots detta upplevs stora brister. Dessa består bland annat i svårigheterna för KI att få reellt inflytande i planeringen av det nya universitetssjukhuset. En konferens har genomförts den 31 januari 2012 med diskussioner kring möjligheterna att bedriva forskning och utbildning i ett förändrat vårdlandskap. Under 2012 har KI:s beredning av samverkansfrågor förstärkts internt genom en operativ styrgrupp under rektorsrådet för klinisk forskning och utbildning. KI:s samarbete med SLL har vidare utökats genom en större representation i förändringsarbetet inom SL; bland annat vid ett nyinrättat programkontor på Karolinska Universitetssjukhuset (KS) samt på kliniknivå för att få tillgång till hälso- och sjukvården för forskning och utbildning. På central nivå har ett gemensamt projekt (4D) initierats för att skapa bättre förutsättningar för klinisk forskning och utveckling. Under året har insatser genomförts inom ramen för Centrum för klinisk utbildning (CKU) i syfte att förbättra kvalitet i den verksamhetsförlagda utbildningen. KI och SLL har i december 2012 gemensamt uppvaktat utbildningsdepartementet med en redogörelse av effekterna för vården om KI måste ta konsekvenserna av ett uppnått eller överskridet takbelopp. 18 Styrelsen för utbildning, utdrag ur protokoll 2012:7 och 2012:13 avseende beslut om åtgärdsplaner. 19 Statusrapport kontrollåtgärder (dnr 7277/ ).

10 Rapport intern styrning och kontroll Karolinska Institutet (10) Hot och sabotage mot djuranläggningar KI har under år 2012 arbetat med att koncentrera sina djurhus utifrån övertagandet av verksamheten vid Astrid Fagreus Laboratorium från Smittskyddsinstitutet och att Astra Zeneca har lagt ned djurverksamheten i Södertälje. Ett löpande och systematisk arbete pågår för att förhindra eventuella hot och sabotage mot djuranläggningarna, vilket omfattar förstärkt skydd i form av fysiska installationer såsom överfallslarm och kameror samt samarbete med polis och externa nätverk. Informations- och utbildningsinsatser sker kontinuerligt om hot och våld särskilt vid institutioner som har djurhus. Ett incidenthanteringssystem är inköpt med beräknad lansering våren KI har vidare under 2012 arbetat för ökad öppenhet om djurförsök vid universitetet med utveckling av de interna och externa webbplatserna samt tillsättandet av en arbetsgrupp för att diskutera och vidta erforderliga kommunikationsåtgärder Utbildningens prioritering och integrering mellan forskning och utbildning Insatser har gjorts under verksamhetsåret 2012 i syfte att stärka lärandets och utbildningens ställning inom KI och SLL. Förslag har tagits fram till definition av excellens i utbildningen. De tre tidigare fastslagna karriärspår som utarbetats i samband med förändrade regler för docentur och vid läraranställningar ska utvärderas. Under året har ytterligare rekrytering genomförts till den Pedagogiska Akademin av medlemmar som har nått nivån excellens enligt KI:s kriterier för pedagogisk skicklighet. Samverkan med SLL har intensifierats där CKU är KI:s förlängda arm i den kliniska verksamheten. Den lärarakademi vid CKU som har implementerats för att stärka pedagogiska karriärvägar för landstingsanställda och stödja lärare i arbetet med den verksamhetsförlagda delen av utbildningarna är under utvärdering. I syfte att ytterligare stärka den verksamhetsförlagda utbildningen har ett arbete pågått för att successivt utöka inrättandet av akademiska vårdcentraler. Ett centrum för lärande och kunskap (CKL) har införts där en interimistisk styrgrupp har tillsatts. Möjligheterna att inrätta ett anatomiskt centrum vid KI och KS har utretts under verksamhetsåret Under 2012 har fortsatt arbete utförts i syfte att implementera tidigare beslutad strategi för forskningsanknytning och utbildning 20 som beräknas vara klart nästa verksamhetsår. Strategin som bygger på en framtagen modell för fördelning av forskningsanknytningsmedel, består av tre delsatsningar; medel för pedagogiskt högaktiva lärare, inrättande av Future faculty program och ämnesföreträdare. Strategin syftar till att påverka incitamentsstrukturen för deltagande i utbildningen. 20 Strategi för forskningsanknytning och utbildning (dnr 6074/11-600).

11 Rapport intern styrning och kontroll Karolinska Institutet (10) Revision och tillsyn Riksrevisionen Riksrevisionen har som ett led i den årliga revisionen av KI genomfört en uppföljande granskning av den interna styrningen och kontrollen av upphandlings- och inköpsprocessen. En revisionsrapport med iakttagelser på området har lämnats den 13 februari Rektor har den 23 april 2012 lämnat ett yttrande till Riksrevisionen innehållande information om vidtagna och planerade åtgärder 22. Riksrevisionen har därutöver haft en muntlig avrapportering av löpande granskning den 5 december Iakttagelserna omfattar inköp av lärartjänster, hyresavtal, intäkter av avgifter och andra ersättningar gällande uppdragsforskning, upplupna bidragsintäkter och oförbrukade bidrag, övriga driftskostnader, samt uppföljande granskning av informationssäkerhet, upphandling, resultatredovisning och löner. Utifrån Riksrevisionens tidigare revisionsrapport kring intern styrning och kontroll av informationssäkerheten som lämnades den 1 februari 2011 har en uppföljning av hittills vidtagna åtgärder gjorts vid möte den 16 november Internrevisionen Under 2012 har Konsistoriet beslutat om åtgärder för att stärka den interna styrningen och kontrollen med anledning av internrevisionens rapport Internrevisionen har enligt fastställd revisionsplan planerat, genomfört och rapporterat ett antal revisioner och uppföljningsbesök. Totalt har nio enheter besökts i olika ärenden under året. Under verksamhetsåret 2012 har fem revisionsrapporter avslutats 23. Rektor, universitetsdirektör, prefekter med flera har löpande muntligt och skriftligt mottagit rapporter över gjorda iakttagelser och rekommendationer. I två fall har revisioner varit initierade av universitetsdirektör och administrativ direktör på grund av särskilda omständigheter. Därtill har internrevisionen självständigt analyserat KI:s risker och bidragit med ytterligare beslutsunderlag inför ledningens värdering av riskområden inför Konsistoriet har den 17 december 2012 fastställt en revisionsplan för Internrevisionen lämnar den 18 februari 2013 en årsrapport för Iakttagelserna omfattar rekommendationer om att Konsistoriet bör fortsätta följa upp beslutade förbättringsåtgärder, ledningens kapacitet bör stärkas genom effektivare ledningsstöd, Konsistoriet bör återkommande informeras om pågående reformering av informations- och IT säkerheten, 21 Riksrevisionens revisionsrapport; Intern styrning och kontroll i upphandlings- och inköpsprocessen (dnr ). 22 Yttrande över Riksrevisionens rapport avseende intern styrning och kontroll i upphandlingsoch inköpsprocessen vid Karolinska Institutet (dnr 1168/ ). 23 Årsrapport internrevisionen 2012 (dnr ). 24 Internrevisionens PM inför ledningsgruppens workshop den 23 oktober års revisionsplan med riktlinjer, internrevisionen (dnr 7619/ , 7620/ ). 26 Årsrapport internrevisionen 2012 (dnr ).

12 Rapport intern styrning och kontroll Karolinska Institutet (10) innovationsverksamhetens uppdrag, inriktningsmål och resurser bör preciseras i KI:s övergripande verksamhetsplan samt rutiner bör förbättras avseende KI:s förvaltningsuppgift av aktierna i Karolinska Institutet Holding AB. KI avser beakta Riksrevisionens, internrevisionens och tillsynsorgans rapportering dels i samband med översyn och uppdatering av gällande interna regler och anvisningar, dels genom fortsatt utveckling av styrmodellen, pågående kontrollåtgärder och revidering av risker. Tillsyn Justitiekanslern Justitiekanslern (JK) har i beslut den 29 maj 2012 uttalat allvarlig kritik mot KI för brister i diareföring och ärendehandläggning 27. KI har under år 2012 vidtagit kraftfulla åtgärder i syfte att komma till rätta med de iakttagna bristerna. Den centrala enheten för arkiv och registratur har organiserats under juridiska enheten. Obligatoriska utbildningsinsatser och genomgång av institutionernas diarieföring har genomförts parallellt med en planerad förändring av organisationen för diarieföring vid KI. Förberedelser har genomförts för byte av diarieföringssystem vid årsskiftet och byte av elektroniskt ärendehanteringssystem. 3.6 Dokumentation Arbetet som genomförts vid KI i enlighet med förordningen (2007:603) om intern styrning och kontroll under 2012 har dokumenterats. Konsistoriet har den 12 november 2012 fattat beslut om vilket underlag som krävs inför uttalandet om betryggande intern styrning och kontroll i årsredovisningen för Bedömningen kommer att grundas på den fastställda riskanalysen, sammanställning av kontrollåtgärder omfattande genomförande och påverkan på riskerna, rektors bedömning av den interna styrningen och kontrollen vid KI samt rapporter från Riksrevisionen och internrevisionen. Under verksamhetsåret har ett arbete utförts i syfte att effektivisera, kvalitetssäkra och integrera processen kring den interna styrningen och kontrollen för att säkerställa dokumentationskraven i enlighet med förordningen. En sammanfattande bedömning är att genomförandet av riskanalysen 2012 är mer genomarbetad då fler representanter deltagit vid workshops såväl från verksamhetsstyrelser som på institutionsnivå med stöd från ledningskansliet. Dokumentationen har därmed kunnat sammanställas på ett likartat sätt för alla deltagande enheter för att senare kunnat aggregeras och presenteras för ledningen för vidare prioriteringar. 27 Diarieföring vid Karolinska Institutet, JK beslut (dnr ). 28 Konsistoriets beslut om underlag till uttalande i årsredovisningen 2012 (protokoll 2012:05).