Årsrapport Årsrapport. (Dnr LED /53) 1 (av 19) Malmö högskola, Internrevisionen, Staffan Ivarsson, Internrevisionschef

Transkript

1 (Dnr LED /53) 1 (av 19) Malmö högskola, Internrevisionen, Staffan Ivarsson, Internrevisionschef Årsrapport Årsrapport 2016 Internrevisionens årsrapport gällande verksamhetsåret 2016 samt en uppföljning av styrelsens beslut från 2015 som föranletts av internrevisionens rapportering Postadress Malmö högskola Rektor Malmö Besöksadress Nordenskiöldsgatan 1 Telefon E-post staffan.ivarsson@mah.se Webb

2 2 (av 19) Förord Internrevisionen arbetar på uppdrag av Malmö högskolas styrelse utifrån såväl den av styrelsen beslutade revisionsplanen och riktlinjer för internrevisionen samt de av Regeringen fastställda reglerna i främst Internrevisionsförordning (2006:1228). I föreliggande årsrapport avseende verksamhetsåret 2016 redovisas internrevisionens genomförda aktiviteter under föregående år samt en uppföljning av styrelsens beslut under året 2015 föranledda av internrevisionens redovisade rapporter till styrelsen. Internrevisionen är enligt Internrevisionsförordning (2006:1228) skyldig att genomföra och skriftligen rapportera sina granskningar till styrelsen och styrelsen är enligt samma förordning skyldig att fatta beslut med anledning av de rekommendationer som lämnas i rapporteringen. Malmö den 6 februari 2017 Staffan Ivarsson Internrevisionschef

3 3 (av 19) 1 Årsrapport 2016 År 2016 var för internrevisionen vid Malmö högskola ett förändringens år. Högskolestyrelsen hade tidigare fattat beslut om att lämna en organisatorisk modell för internrevisionen till förmån för en annan modell. Fram till och med den 7 april 2016 gällde ordningen att Malmö högskola hade en internrevisionschef anställd på deltid samt att det fanns en budget för upphandlade konsulttjänster. Från och med den 8 april 2016 ersattes nämnda modell med en traditionell sådan där internrevisionschefen är anställd på heltid med möjligheter att köpa upp revisionstjänster, dock i mindre utsträckning än vad som gällt tidigare. 1.1 Granskningsrapporter Under året har 5 granskningsrapporter tagits fram inom ramen för det uppdrag och den budget som styrelsen fastställt för 2016; 3 rapporter direkt till högskolestyrelsen och 2 på delegation till rektor. Rapporternas iakttagelser, bedömningar och rekommendationer återges nedan i den ordning de presenterats under kalenderåret Planeringsprocessen för Niagara, Dnr. LED /185 Internrevisionen har på uppdrag av rektor utvärderat planeringsprocessen för att färdigställa och ta i bruk högskolebyggnaden inom kvarter Niagara. Ur verksamhetssynpunkt kan otillräckligt anpassade lokaler för utbildning, forskning och samverkan få stora konsekvenser genom att försvåra för organisationen att nå sina mål samt riskerar att i förlängningen innebära behov av ytterligare ekonomiska åtaganden. Även en ofullständig anpassning av arbetssätt och administrativa rutiner vid förändrade organisatoriska förhållanden utgör risk för brister i den interna styrningen och kontrollen. Granskningens syfte har varit att utvärdera hur högskolans processer för planering av sin verksamhet i nybyggnationen Niagara har fungerat inom den egna organisationen. Planeringsprocessen sträckte sig över en femårsperiod med inflyttning i augusti månad Projektet bestod av i princip två stora projekt, ett byggprojekt och ett högskoleinternt projekt. Internrevisionen kan konstatera efter genomförd utvärdering att Niagaraprojektet har varit ett framgångsrikt byggprojekt som höll tidsramar, ekonomiska ramar och förhandlade fram fördelaktiga avtal. Ur byggsynpunkt gick projektet enligt standardprocedurer och uppgjorda planer. Däremot var integrationen mellan de två projekten - byggprojektet och det högskoleinterna projektet - inte optimalt då projektorganisationen inte var byggd för två delprojekt.

4 4 (av 19) Styrningen av planeringsprocessen var i alla delar inte tillfredsställande. Verksamhetsfrågorna behandlades för sent i planeringsprocessen och fick inte den styrning som hade behövts. Stödet till fakulteter, institutioner/avdelningar var inte tillräckligt, exempelvis i frågor om lokalbehov, samordning mellan fakulteter och effektivisering genom ny teknik eller nya administrativa processer. Projektorganisationen var under tidsperioder bemanningsmässigt ansträngd. Det kan också konstateras att akademin och stödverksamheten hade skilda förväntningar på varandras uppgifter och engagemang i processen. Bristernas orsaker kan delvis ses utifrån följande förhållanden: Projektförutsättningarna var till alla delar inte klargjorda och uppföljning/utvärdering för att fånga upp och åtgärda sådant som inte fungerade uppmärksammades inte alltid. Tidsaspekten i byggprojekt är avgörande då förseningar kan orsaka stora kostnader och Malmö högskola hade vid tiden för projektet ett stort besparingskrav som påverkade projektet genom t ex anställningsstopp samt tid och möjlighet att arbeta i projektet. Internrevisionen ger med anledning av granskningen följande rekommendationer för framtida förändringsprojekt: Använd och anpassa beslutad projektmetodik enligt högskolans Projektkontor till planerade förändringsprojekt. Tydliggör och kommunicera samtliga projektförutsättningar för projekten (ref. kap 6, s. 14). Ägna speciell uppmärksamhet åt tillvägagångssättet vid förankring av beslut. Engagera akademiska ledare och akademiska företrädare i verksamhetsfrågorna. Förändringsprocesser berör alltid människor i organisationen. Inkludera HR-kompetens i förändringsarbetet. Analysera noga stöd- och kunskapsbehov för projektdeltagare och de som är berörda av den kommande förändringen. Diskutera och redovisa öppet de förväntningar som olika intressegrupper har inför förändringsarbete. Syftet är att så tidigt som möjligt tydliggöra ev. skilda förväntningar och söka skapa en gemensam realistisk bild av vad förändringen ska åstadkomma samt ge påverkbar kunskap om det tänkta arbetssättet. Vid nybyggnation/ombyggnation skapa tydlig projektorganisation även för de icke-byggnatoriska förändringarna. Övervaka styrning och uppföljning samt uppmuntra till mindre utvärderingar under processens gång.

5 5 (av 19) Bisysslor, Dnr. LED /408 Internrevisionen har efter en överenskommelse med rektor tagit i anspråk medel ur posten ospecificerade granskningar i den av styrelsen fastställda revisionsplanen för 2016 med syftet att granska myndighetens arbete med hantering av de anställdas bisysslor. Granskningen utgår från gällande lagar och förordningar samt de interna regler som myndigheten Malmö högskola fattat beslut om. En processkartläggning och genomförda intervjuer samt stickprov av lämnade uppgifter som ställts mot främst Bolagsverkets register har gjorts. Granskningen visar att det finns regler som på det stora hela taget är korrekta och tydliga men att kännedomen om dem i organisationen inte är tillräcklig. Inte heller är förståelsen bland ansvariga chefer tillräckliga för att den interna styrningen och kontrollen på området ska kunna anses vara tillräcklig. HR-enheten har ett ansvar för att upprätthålla en systemteknisk infrastruktur för att det ska vara möjligt att både egenrapportera sina bisysslor och att chefer eller andra utsedda ska kunna göra kontroller vad gäller lämnade uppgifter. Granskningen visar vidare att det varken rapporteras i tillräcklig grad hälften av de anställda har varken på eget initiativ rapporterat eller efter uppmaning rapporterat eller på ett korrekt sätt. Här finns utrymme för förbättringar. Internrevisionen anser att det finns skäl att både öka de akademiska chefernas insikt och vilja att kontrollera samt att centralisera vissa delar av de lite mer hårda stickprovskontroller som kan vara svåra att låta få utförda i en linjeorganisation av den typ som en akademisk institution är. Sammantaget bedömer internrevisionen att Malmö högskola har organiserat hanteringen av bisysslor på ett förhållandevis bra sätt, men att den inte fullt ut uppfyller kraven på god intern styrning och kontroll då det finns utrymme för ytterligare förbättringar som kan säkra verksamheten än bättre. Internrevisionen rekommenderar mot bakgrund av de iakttagelser och bedömningar som gjorts att rektor fattar beslut om att dekanerna, och motsvarande befattningshavare, i särskild ordning i sina organisationer kommunicerar gällande regelverk och betydelsen av detta, att förvaltningschefen både tydliggör de interna ansvarsförhållandena när det gäller HR-avdelningens roll i uppföljnings-/kontrollarbetet och utvecklar de interna kontrollrutinerna mellan dekanerna och Gemensamt verksamhetsstöd, att förvaltningschefen får i uppdrag att införa en rutin för stickprovskontroller som utifrån risk- och väsentlighetskriterier kan tillämpas i det löpande kontrollarbetet gällande bisysslor på Gemensamt förvaltningsstöd vid MAH samt

6 6 (av 19) att förvaltningschefen får i uppdrag att förtydliga definitionen av bisyssla så att styrelseuppdrag och andra uppdrag som utföres av anställda vid MAH och innebär personligt juridiskt ansvar innefattas i definitionen av bisyssla Kursvärderingar, Dnr. LED /540 Internrevisionen har på uppdrag av högskolestyrelsen granskat i vad mån högskolan följer de regler som finns gällande kursvärderingar där studenter ges möjlighet att påverka inriktning och utformning av kurser inom ramen för den utbildningsverksamhet som bedrivs på fakulteterna. Internrevisionen har funnit att det görs kursvärderingar och att dessa i stort sett följer de interna och externa anvisningar som finns. Variationerna mellan institutioner och fakulteter är förhållandevis stora, delvis beroende på att det finns skillnader i de pedagogiska och allmänna förutsättningarna mellan kurser. Exempelvis är det en stor skillnad mellan de klassrums- eller laboratorieorienterade odontologiska kurserna och de distansutbildningar som bedrivs vid fakulteten för lärande och samhälle. Detta leder bland annat till att sammanhållningen eller vikänslan blir högre i de förstnämnda kurserna vilket kan bidra till att svarsfrekvenserna blir mycket höga för dem till skillnad från distanskurserna. Internrevisionen har funnit att kursvärderingar görs men att det sker med olika engagemang samt också att nyttan eller innehållet i dem inte i tillräcklig grad rapporteras uppåt i organisationen. Innehållet eller resultatet bör dokumenteras i kursrapporter, vilket inte sker i tillräcklig omfattning. Internrevisionen anser att det inte i tillräcklig grad går att utläsa i den samlade och ackumulerade dokumentation som finns hur och i vilken grad man från fakulteternas sida tar om hand studenternas synpunkter. Här finns det utrymme för förtydliganden och förbättringar, både lokalt på institutioner/fakulteter och i den rapportering som Gemensamt verksamhetsstöd, GV, står för. Det är också tydligt hur styrningen från Gemensamt verksamhetsstöd inte i tillräcklig grad får fram innehållsmässiga värderingar i de ackumulationsprocesser som de svarar för. De sammanfattningar som skickas in från fakulteterna är i alltför hög grad inriktade mot kvantiteter och själva processen för kursutvärdering inklusive de stödverktyg som finns för detta. Svarsfrekvenser, andel kursrapporter m.m. får en alltför dominerande plats i den rapportering som görs vertikalt i myndigheten på bekostnad av det innehållsmässiga i kurser och utbildningar. Internrevisionen har noterat att det innehållsmässiga i första hand konsumeras på institutionerna och inte i tillräcklig grad i de centrala beredningsformer, i första hand Utbildningsberedningen (UB) och Ledningsgruppen, som finns. Internrevisionen noterar att det pågår ett omfattande och ambitiöst

7 7 (av 19) utvecklingsarbete gällande ett ramverk för kvalitetsarbetet vid myndigheten. De rekommendationer som internrevisionen lämnar kan lätt tas om hand i det arbetet. Internrevisionen rekommenderar mot bakgrund av de iakttagelser och bedömningar som gjorts att myndigheten fattar beslut om att förtydliga instruktionerna gällande kursvärderingar så att det tydligt framgår hur man på fakulteterna arbetar med att ta vara på studenternas synpunkter, vad som framkommit gällande det innehållsmässiga i kurserna samt vad som kommunicerats till studenterna och vad som sedan gjorts vad gäller åtgärder, att utveckla rapporteringen som går till UB och rektor så att kursutvärderingsprocessen kan bli ett mer kraftfullt redskap i det strategiska planerings- och styrarbete som bedrivs av styrelse, rektor och ledningsgrupp samt att lämna över föreliggande granskningsrapport till UB och de grupper som arbetar med kvalitetsutvecklingen inom Malmö högskola med syftet att vid behov ta vara på de delar som gäller dels vertikal rapportering, dels det som beskrivs och benämns som det intelligenta innehållet i rapporteringen på och mellan samtliga nivåer Analysverksamhet, Dnr. Mahr Internrevisionen har i enlighet med fastställd revisionsplan granskat högskolans analysverksamhet. Granskningen syftar till att bedöma omfattning, organisation och resurser av nuvarande analysverksamhet inom högskolan och avgränsades till att behandla analysverksamhet vid högskolans nivåer för ledning och styrning av verksamheten. Därmed behandlas inte specifik analysverksamhet inom utbildning, forskning och samverkan. De övergripande frågeställningarna att besvara har varit om förutsättningarna för en god analysverksamhet inom Malmö högskola är tillgodosedda och om analysverksamheten används på ett systematiskt sätt för att generera goda beslutsunderlag. Högskolan är en komplex och decentraliserad organisation inom en sektor som är under ständig förändring. Kraven på organisationen ur ett omvärldsperspektiv är betydande bl. a till följd av hårdnande konkurrens mellan lärosäten och önskemål om förändringar på nationell nivå. För att kunna möta externa krav och interna behov av anpassningar av verksamheten krävs goda beslutsunderlag, vilka får sin kvalitet från en god analysverksamhet. Exempel på externa krav på analyser är årsredovisning, budgetunderlag och svar på externa remisser, utredningar och ställda frågor mm. Interna krav utgörs av omvärldsorientering som ger input till strategiskapande planer och att se möjligheter och åtgärder i verksamheten, men även synliggör risker, hinder och stötestenar. Till de interna kraven hör även exempelvis de årliga behoven

8 8 (av 19) av analys inför verksamhetsplanering, verksamhetsdialoger, prognoser och uppföljningar, där flertalet funktioner inom det samlade verksamhetsstödet medverkar och ger sina bidrag. Även underlagen till alla de verksamhetsbeslut som dagligen fattas på högskolan för studerande och medarbetare, inom utbildning, forskning och samverkan ska vara adekvat analyserade och transparent redovisade innan beslut inom de olika områdena tas. Internrevisionen konstaterar att analysverksamheten är viktig och omfattande inom högskolan och att verksamheten framöver kan beräknas öka något i omfång och komplexitet. Analysverksamhet bedrivs i den omfattning som kan anses rimlig inom Gemensamt Verksamhetsstöd. Den administrativa verksamheten inom högskolan har i stora stycken centraliserats genom en succesiv organisationsförändring som startade Den centrala analysverksamheten finns organisatoriskt under Gemensamt verksamhetsstöd som utgör det samlade verksamhetsstödet inom högskolan. Inom GV finns idag 11 avdelningar med analyskompetens i skiftande grad inom samtliga avdelningar. Specialistkompetensen inom analysverksamhet på den centrala nivån finns inom avdelningen för Utbildnings- och forskningsstöd. De administrativa funktioner som tidigare fanns på fakulteterna och leddes av dekan och kanslichef/administrativ chef har genom organisationsförändringen centraliserats och ansvaret för högskolans totala administration har förts till förvaltningschefen. På fakultetsnivå finns också beredningsorgan för utbildning och forskning som genom sin rådgivningsfunktion till rektor genomför utredningar för diskussion och beslut. Granskningen pekar på att nuvarande analysverksamhet har potential till förbättringar genom att utveckla organisationen och möjliggöra ett mer systematiskt och transparent arbetssätt. En effektiv samordning mellan olika funktioners analysresurser har i granskningen visat sig svår att åstadkomma. Inom högskolan har man sedan ett par år tillbaka på central nivå tillfört personella resurser i syfte att fördjupa analysverksamheten och tillföra organisationen resurser för systematiserad omvärldsbevakning. Fördjupad kompetens inom analysområdet behöver dock tillföras inom vissa funktioner för att erhålla en generellt jämnare kompetensnivå inom högskolan. Internrevisionen har inte granskat datakvaliteten i befintliga system men vill lyfta frågan som en viktig komponent i förutsättningarna för ett framgångsrikt analysarbete. Internrevisionen ger med anledning av granskningen följande rekommendationer: Åstadkom effektivare analysverksamhet genom att utveckla organisationen och möjliggöra ett mer systematiskt och transparent arbetssätt. Erbjud kompetensutveckling till berörda inom analysområdet. Utveckla och kvalitetssäkra organisationens analyssystem.

9 9 (av 19) Prioritera det pågående utvecklingsarbetet att följa upp och analysera progressionen iförändringsarbetet mot högskolans mål i Strategi Etikrelaterat arbete, Dnr LED /288 Internrevisionen har i enlighet med fastställd revisionsplan granskat och lämnar med denna rapport förslag till åtgärder i vad avser högskolans värdegrundsarbete och etiska riktlinjer på högskoleövergripande nivå. Brister i ledningsprocesser inom en organisation får ofta vittgående följder i det långa perspektivet. Frånvaro av tydligt kommunicerade grundläggande värderingar och etiska riktlinjer utgör risk genom att medarbetare inte ges vägledning som underlättar bedömningar om vad som är rätt och fel i organisationen. Även utomståendes tillit till organisationen kan rubbas eftersom brister inom området kan öppna upp för ökade risker för oetiskt beteende och oegentligheter inom en rad områden och är inte förenligt med god intern styrning och kontroll. Granskningen avser etikrelaterade mål, program och aktiviteter på högskoleövergripande nivå. Granskningen omfattar inte en bedömning av högskolans val av grundläggande värderingar och etiska riktlinjer och inte heller forskar- och forskningsetik. Övergripande frågeställningar att besvara är i vad mån Malmö högskola arbetar aktivt med värdegrundsfrågor och etik, dvs om det finns mål, program och aktiviteter inom området och om dessa i förekommande fall stärker högskolans interna styrning och kontroll. Internrevisionen gör bedömningen att högskolans arbete med etikrelaterade mål, program och aktiviteter på högskoleövergripande nivå inte är tillräckligt aktivt. Arbetet med att få högskolans värdegrund och etik att genomsyra all verksamhet enligt intentionerna i Strategi 2020 är inte systematiserat. Högskolan har i sin riskanalys under en följd av år uppmärksammat behovet av ett systematiskt värdegrundsarbete inom området organisationskultur, men arbetet har fått stå tillbaka i prioritetsdiskussioner och beslut. De i juni 2016 fastställda Riktlinjer mot korruption och oetiskt handlande vid Malmö högskola är ett steg i rätt riktning som stärker högskolans interna styrning och kontroll. Mot bakgrund av genomförd granskning rekommenderar internrevisionen högskolan att systematisera arbetet med värdegrund och etik som ett led i utvecklandet av högskolans styrfilosofi, att konkretisera ledningens styrfilosofi så att anställd personal och studenter på ett tydligt sätt kan se vad det innebär i vardagen samt att tydliggöra ansvaret för värdegrundsarbetet.

10 10 (av 19) Fastighetsförvaltning I revisionsplanen för 2016 framgår att internrevisionen ska granska i vad mån den av Malmö högskola tillämpade modellen för fastighetsförvaltning är ändamålsenlig. Fältarbetet och analysarbetet är i stort sett avslutat vid färdigställandet av föreliggande årsrapport men dokumenteras skriftligen och redovisas för styrelsen under vintern/våren Rådgivning Den rådgivande verksamheten har till allra största delen utnyttjats av högskolans centrala nivå. Rådgivningen har främst rört frågor om regelverk och intern styrning och kontroll samt frågor i anslutning till internrevisionens rapporter. 1.3 Omvärldsanalys, riskanalys och revisionsplan Arbetet med att upprätta riskanalys och planera kommande års arbete utförs delvis löpande under året och delvis genom en mer systematisk genomgång med bl. a. intervjuer och omvärldsanalyser under september - november. Riskanalysen bildar underlag till nästkommande års revisionsplan. Styrelsen tog en aktiv del i förslagen till revisionsobjekt inför Beslut om revisionsplanen togs i två steg, i december 2015 och i februari Årsrapport och uppföljning Internrevisionen tar varje år fram en redovisning av vad funktionen gjort under föregående år; dessa benämns årsrapporter. I dessa redovisas också vad myndigheten gjort med anledning av högskolestyrelsens beslut gällande internrevisionens rekommendationer. De beslut som följs upp i januari 2017 är de som fattades under kalenderåret 2015, se del två i denna årsrapport nedan. Anledningen till denna fördröjning är att myndigheten ska ha rimliga förutsättningar att bereda, fatta beslut och implementera de förändringar som högskolestyrelsen fattat beslut om. 1.5 Kompetensutveckling och deltagande i nätverk Internrevisionens arbetsområde omfattar all den verksamhet som högskolan bedriver eller ansvarar för. Under året har kompetensutveckling skett genom deltagande i ett seminarium inom revisionsområdet arrangerat av ESV. Därutöver har kompetensutveckling skett genom nätverkande inom universitet och högskolor. Internrevisionen har byggt upp ett fördjupat samarbete med internrevisionerna vid Lunds respektive Uppsala universitet. 2 Uppföljning av högskolestyrelsens beslut 2015 Internrevisionen följer upp högskolestyrelsens beslut som fattats med anledning av internrevisionens rapporter. Internrevisionen följer upp högskolestyrelsens beslut med viss fördröjning. Här redovisas beslut som fattats Anledningen är att verksamheterna ska ha getts möjlighet att verkställa när uppföljningen görs.

11 11 (av 19) Avdelningen för gemensamt verksamhetsstöd har skriftligen besvarat internrevisionens frågor och stickprov har tagits. Resursfördelningsprocessen vid Malmö högskola, Dnr. Mahr /544 Bakgrund och IR-rekommendationer Internrevisionen har granskat Malmö högskolas resursfördelningsprocess. Syftet med granskningen har varit att undersöka om den interna resursfördelningsprocessen används som ett effektivt styrinstrument som bidrar till att högskolan uppnår sina mål samt, i förekommande fall, förslag till förbättringar. Interrevisionen har utifrån granskningen identifierat följande förbättringsområden/rekommendationer: 1. Utveckla en process och en modell för systematisk uppföljning av väsentliga delar i högskolans verksamhet utifrån såväl helhetsperspektiv som lokala perspektiv för att möjliggöra analys och utvärdering mot hela verksamhetsprocessen samt synliggöra kopplingen mellan mål och medel. 2. Tydliggör, följ upp och utvärdera högskolans samlade insatser för särskilda ändamål och strategiska satsningar. Rektors kommentarer till Internrevisionens två rekommendationer När det gäller den första rekommendationen redovisades till styrelsemötet en kommentar att högskolan sedan 2013 har en styrmodell (Dnr Mahr /473) som vid tidpunkten (2015) höll på att justeras i enlighet med det som presenterades för högskolestyrelsen i november När det gäller den andra rekommendationen gäller på samma sätt som under föregående stycke att det sedan 2013 finns en resursfördelningsmodell (Dnr Mahr /319). Som ett resultat av Internrevisionens granskning och den interna utvärdering som genomförts föreslås att resursfördelningsmodellen kompletteras. En särskild beslutspunkt med presenterat underlag redovisades vid högskolestyrelsens möte. (Internrevisionen redovisar inte i detta sammanhang alla de detaljerade förslag som angavs då ett senare beslut upphävde modellen, se nedan.) Högskolestyrelsens beslut Högskolestyrelsen beslutade att godkänna de åtgärder som vidtas i och med förslaget till revidering av resursfördelningsmodellen samt att uppdra till rektor återkomma med en reviderad styrmodell som i möjligaste mån beaktar de synpunkter som framkom under rekommendation 1 ovan.

12 12 (av 19) Uppföljning Internrevisionen har samtalat med chefer vid Gemensamt verksamhetsstöd och det konstateras att båda besluten från , enligt ovan, handlar om hela myndighetens styrmodell, vilken upphävdes på styrelsemötet i december Styrelsen delegerade vid detta senare styrelsemöte till rektor att på styrelsemötet i maj 2017 informera om hur detta kan ske framöver. Utgångpunkt ska vara att det ska ske i enlighet med det som presenterats vad gäller processen att budgetera, planera och följa upp. Bilaga kring hur det är tänkt finns i högskolestyrelsens box från mötet i december Informationssäkerheten vid fakulteterna, Dnr. Mahr /59 Malmö högskola är som myndighet skyldigt att upprätthålla ett ledningssystem för informationssäkerhet i enlighet med Myndigheten för samhällsskydd och beredskaps (MSB) föreskrift 2009:10. Det praktiska arbetet skall enligt denna föreskrift följa den internationella standarden för informationssäkerhet ISO Under hösten 2014 genomförde internrevisionen en granskning av informationssäkerheten på fakulteterna. Den genomförda granskningen visar att Malmö högskola vid tidpunkten hade ett bra regelverk och en god dokumentation, men att det finns brister i det praktiska arbetet med informationssäkerhet ute på fakulteterna. Detta gäller såväl uppföljningen av informationssäkerheten som utbildning och kunskapsspridning inom området. Redovisningen av uppföljningen gällande denna granskningsrapport görs utifrån tre innehålls- eller sakområdesmässiga delar i internrevisionens rapport. Det gäller Del 1 Ansvarsområden och uppföljning Del 2 Utbildning Del 3 Intern styrning och kontroll Del 1 Ansvarsområden och uppföljning Bakgrund och internrevisionens rekommendationer (Del 1) Enligt MSBFS 2009:10 gäller att myndighetens ledning beslutar om hur uppgifter om informationssäkerhet fördelas i organisationen men har alltid det yttersta ansvaret för verksamhetens informationssäkerhet. Högskolan har i dagsläget delegerat ansvaret för den lokala informationssäkerheten till dekanerna, men den genomförda granskningen har pekat på brister i den lokala hanteringen. Internrevisionens rekommendationer: Klargör ansvarsområden inom organisationen avseende hantering av känslig information. Förbättra och dokumentera uppföljning för att säkerställa att beslutat regelverk följs

13 13 (av 19) Rektors föreslagna åtgärder (Del 1) Mot bakgrund av den genomförda granskningen rekommenderas att det vid fakulteterna utses en kontaktperson för informationssäkerhetsfrågor gällande informations- och kunskapsspridning. Informations- och IT-säkerhetsansvarig skall ha möjlighet att informera fakultetens ledningsgrupp om aktuella informationssäkerhetsfrågor och uppföljningar på utfört arbete. Högskolestyrelsens beslut (Del 1) Högskolestyrelsens beslutar att delegera till rektor att vidta den ovan föreslagna åtgärden. Uppföljning (Del 1) Den föreslagna åtgärden har inte genomförts. En omorganisation vid högskolan har medfört att ett antal administrativa arbetsuppgifter har förts in centralt med följd att berörd personal har överförts från fakulteterna till gemensamt verksamhetsstöd. Detta har i sin tur medfört att man från fakulteternas sida inte har ansett sig ha möjlighet att utpeka någon kontaktperson lokalt. Del 2 Utbildning Bakgrund och internrevisionens rekommendationer (Del 2) God informationssäkerhet förutsätter att all berörd personal känner till och medverkar till att gällande regelverk följs (MSBFS 2009:10). För att säkerställa att högskolans personal har en god kunskap om informationssäkerhet har en utbildning skapats i högskolans lärplattform ITs Learning. Denna innehåller ett utbildningsmaterial inklusive kontrollfrågor. Genomgången utbildning registreras. Internrevisionens rekommendation: Intensifiera arbetet med att informera och utbilda personal avseende hantering av känslig information Rektors föreslagna åtgärder (Del 2) Befintlig utbildning skall ges till högskolans personal. Arbetet med detta utförs av Informations- och IT-säkerhetsansvarig tillsammans med den lokala organisationen via den utsedda kontaktpersonen för informationssäkerhetsfrågor samt med stöd av högskolans kommunikationsavdelning. Från den tidpunkt den lokala organisationen beslutar sig för att genomgå utbildningen och har utsett en kontaktperson bör ett genomslag på 80% av personalen kunna nås inom tre månader förutsatt att det nödvändiga lokala stödet finns för arbetet. Målet är att nå all personal inom högskolan innan 1 juli 2016 samt att införa utbildningen som en del i introduktion för nyanställda.

14 14 (av 19) Högskolestyrelsens beslut (Del 2) Högskolestyrelsens beslutar att delegera till rektor att vidta den ovan föreslagna åtgärden. Uppföljning (Del 2) Den föreslagna åtgärden har inte genomförts. Den 11/ konstaterades det, enligt berörd verksamhet, att Från den tidpunkt den lokala organisationen beslutar sig för att genomgå utbildningen och har utsett en kontaktperson bör ett genomslag på 80% av personalen kunna nås inom tre månader förutsatt att det nödvändiga lokala stödet finns för arbetet. Arbetet har på grund av bristen på lokalt stöd baserats på information och frivillighet vilket har resulterat i ett genomslag om endast 6% per Åtgärden kan därmed inte betraktas som genomförd. Del 3 Intern styrning och kontroll Bakgrund och internrevisionens rekommendationer Enligt ISO skall revisioner genomföras på sådant sätt att objektivitet och opartiskhet i revisionsprocessen säkerställs och så att det är möjligt för ledningen att avgöra om säkerhetsaktiviteterna, delegerade till personal eller utförda med hjälp av informationsteknik, fungerar som förväntat. I dagsläget är Informationsoch IT-säkerhetsansvarig utsedd av rektor men har sin placering på IT-avdelningen och rapporterar till enhetschefen för PSU samt ITC vilket medför att det finns en risk för brister på grund av beroendeförhållandet. Internrevisionens rekommendation: Se över möjligheten att minska beroendeförhållandet mellan verkställande och kontrollerande del avseende informationssäkerhet Rektors föreslagna åtgärd (Del 3) Rapporteringen kring säkerhetsarbetet formaliseras och Informations- och ITsäkerhetsansvarig rapporterar till Förvaltningschefen eller av denna utsedd person en gång per kvartal eller vid behov. Högskolestyrelsens beslut (Del 3) Högskolestyrelsens beslutar att delegera till rektor att vidta de ovan föreslagna åtgärderna. Uppföljning (Del 3) Åtgärden har genomförts helt enligt förslaget. Uppdragsutbildning, Dnr. Mahr /60 Bakgrund och internrevisionens rekommendationer Granskningen gäller Malmö högskolas hantering av uppdragsutbildning. Syftet med granskningen har varit att ge interrevisionen möjlighet att bedöma Malmö högskolas arbete för att stödja realiserandet av högskolans mål att öka volymen av

15 15 (av 19) uppdragsutbildningar. Interrevisionen har utifrån granskningen identifierat följande förbättringsområden/rekommendationer: Malmö högskola bör överväga att från central nivå konkretisera målet att öka uppdragsutbildningen för att på så vis tydliggöra ansvarskedjor och målhierarkier. Malmö högskola bör tillse att rutinerna för diarieföring och avtalshantering stärks. I syfte att säkerställa att kravet om full kostnadstäckning uppfylls bör Malmö högskola på övergripande nivå och på fakultetsnivå stärka den interna kontrollen avseende uppdragsutbildning. Högskolestyrelsens beslut Högskolestyrelsen beslutade vid mötet att delegera till rektor att: Tillse att rutinerna för diarieföring, avtalshantering och beräkning av full kostnadstäckning stärks vad beträffar uppdragsutbildning Uppföljning Internrevisionens uppföljning i januari 2017 visar att de åtgärder som styrelsen beslutat om vad gäller uppdragsutbildning har resulterat i följande: Kravet gällande full kostnadstäckning vid uppdragsutbildning anges ha säkerställts genom att alla controllers/ekonomer organisatoriskt är placerade i den gemensamma ekonomiavdelningen. Kalkyler, anbud och avtalshantering sker via gemensamt framtagna kalkyler och mallar. Samtliga controllers/ekonomer anges vara väl förtrogna med regelverket gällande uppdragsutbildning och kravet på full kostnadstäckning. Årlig uppföljning görs av avräknade uppdragsutbildningsprojekt där resultatet kommenteras. Arbetet utförs i nära samarbete med projektledare på fakulteterna. Registratorsfunktionen är sedan 1 januari 2015 centraliserad och består av två registratorer. Gemensamma riktlinjer för registrering av olika dokumenttyper har tagits fram och lagt på webbsida: Handläggare av uppdragsutbildning har särskilt informerats. Forskarutbildning, Dnr. Mahr /461 Bakgrund Internrevisionens uppdrag omfattade fyra aspekter av forskarutbildningen: antagning av doktorander, handledarfunktionen, tillgodoräknande inför registrering i Ladok samt utseende av opponent och betygsnämnd vid disputationer (Dnr Mahr

16 16 (av 19) /461). Därmed kompletterar internrevisionens rapport den interna utvärdering av forskarutbildningen vid Malmö högskola som startade hösten 2013 (Dnr Mahr /99). Visst överlapp dem emellan förekommer emellertid. Sju rekommendationer lämnades med anledning av granskningsrapporten. De förkortas som R1-R7 nedan. Internrevisionens rekommendation 1 (R1) Ansvariga fakulteter bör tillse att det tydligt framgår i vilket forum beredningen av en antagning till utbildning på forskarnivå ska genomföras, vad de olika forumen förväntas fokusera på i beredningsprocessen samt vilken funktion som ansvarar för kontroll av finansieringsplan, formaliagranskning och slutgiltigt beslut. Rektors föreslagna åtgärd R1 I de fall där dokumentationen av fakultetens antagningsprocess inte är tydlig avseende ovanstående punkter ska fakulteten åtgärda detta. Forskarutbildningsutskottet kommer 2016 att följa upp om de klargöranden och åtgärder som är vidtagna är tillräckliga. Högskolestyrelsens beslut R1 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R1 Forskarutbildningsutskottet skulle 2016 ha följt upp om klargörandena och åtgärderna som vidtagits varit tillräckliga. Detta kommer enligt uppgift från utskottet istället att ske under våren Internrevisionens rekommendation 2 (R2) Malmö högskola bör säkerställa att antagningsordningens krav på kommunikation med samtliga sökanden inför beslut om antagning följs av samtliga fakulteter. Rektors föreslagna åtgärd R2 Vid doktorandanställning ska HR-avdelningen använda antagningsordningens regelverk beträffande den kommunikation med sökande som behöver göras utöver den gängse som görs vid andra typer av anställningar. Vid antagning med annan form av studiefinansiering än doktorandanställning ansvarar i förekommande fall fakulteten för denna kommunikation. Högskolestyrelsens beslut R2 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna.

17 17 (av 19) Uppföljning R2 Antagningsordningen kommer att ses över under 2017 i samband med arbetet med kvalitetsutvecklingen av forskarutbildningen. I kvalitetsarbetet för 2017 ingår att foga utbildning på forskarnivå till kvalitetsramverket för de två tidigare utbildningsnivåerna samt att etablera processen att utbilda på forskarnivå. Internrevisionens rekommendation 3 (R3) Malmö högskola bör tillse att rutiner för systematisk utvärdering av handledarfunktionen utarbetas och följs. Vidare bör Malmö högskola se över behovet av att återkommande tillhandahålla handledarutbildning till befintliga handledare. Rektors föreslagna åtgärd R3 Högskolan avser att insamla doktorandernas synpunkter beträffande deras handledningssituation tillsammans med andra synpunkter på forskarutbildningen i en återkommande Doktorandbarometer genom Avdelningen för utbildnings- och forskningsstöd (UFS) försorg samt vid regelbundna hearings med doktoranderna vid respektive fakultet. Vidare planeras en enkät till samtliga handledare. Forskarutbildningsutskottet kontrollerar att lämpliga åtgärder genomförs. (För handledarutbildning se nedan.) Högskolestyrelsens beslut R3 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R3 Den interna utvärderingen föreslog årsvis återkommande hearingar med doktoranderna vid respektive fakultet. Dessa har börjat genomföras systematiskt. Under hösten 2016 har på grund av brist på stödpersonal som arbetar med forskarutbildning varken den planerade studentbarometern eller handledarenkäten kunnat genomföras. Under våren 2017 kommer stödet till forskarutbildningen att byggas ut för att på ett mer genomgripande sätt ta hand om Malmö högskolas utbildning på forskarnivå. Internrevisionens rekommendation 4 (R4) Malmö högskola bör tillse att det på ett mer tydligt sätt kommuniceras vad som händer i de fall doktoranden anser sig vara i behov av att byta handledare. Rektors föreslagna åtgärd R4 Malmö högskolas policy för utbildning på forskarnivå behöver förtydligas när det gäller processen för handledarbyte. Policyn kommer att revideras av Forskarutbildningsutskottet under 2016.

18 18 (av 19) Högskolestyrelsens beslut R4 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R4 I de övergripande riktlinjerna har kravet på smidigt handledarbyte förtydligats. Detaljerna i de övergripande riktlinjerna återstår att utforma och genomföra och utgör en del i kommande kvalitetsutvecklingsarbetet. Internrevisionens rekommendation 5 (R5) I utbildning och utvärdering av handledare bör frågor som rör bemötande, förhållningssätt och värdegrund beaktas. Rektors föreslagna åtgärd R5 Centrum för Akademiskt lärarskap ska tillsammans med Forskarutbildningsutskottet planera hur professionaliseringen av handledarrollen kontinuerligt stärks vid Malmö högskola. Högskolestyrelsens beslut R5 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R5 Forskarutbildningsutskottet godkände under 2016 en ny plan för den högskolegemensamma handledarutbildningen som är menad att stärka professionaliseringen i handledarrollen. Internrevisionens rekommendation 6 (R6) Malmö högskola bör se över nuvarande förutsättningar för att säkerställa att poänggivande aktiviteter så som seminarium och konferenser bedöms likvärdigt. Rektors föreslagna åtgärd R6 Tillgodoräknande av kurspoäng för aktiviteter som inte direkt kan knytas till en kursplan bedöms av doktorandens examinator (eller motsvarande). Eftersom forskarutbildningen är individuell samt ämnesberoende är det olämpligt att utfärda högskolegemensamma riktlinjer för tillgodoräknande. Fakulteterna ska istället ha tydliga riktlinjer om vilka delar av utbildningen som är poänggivande. Högskolestyrelsens beslut R6 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R6 Forskarutbildningsutskottet anger i januari 2017 att eftersom forskarutbildningen är så pass individualiserad som den är, kan det vara kontraproduktivt att ha alltför

19 19 (av 19) fixerade tillgodoräknanden. Examinator har rollen att evaluera sådana tillgodoräknanden i förhållande till ett helhetsperspektiv på doktorandens utbildning. Internrevisionens rekommendation 7 (R7) Malmö högskola bör formalisera beredningen och i viss utsträckning uttala vad som är godtagbart och inte beträffande jäv och delikatessjäv vid utseende av opponent och betygsnämnd. Rektors föreslagna åtgärd R7 Malmö högskola ska ha en samsyn på vad som är jäv i samband med arrangemang av disputation. Samsynen bör bygga på fakulteternas skrivningar kring jäv och Vetenskapsrådets jävsregler. Jävsregler vid disputation förs in i nästa version av policy för utbildning på forskarnivå Fakulteterna klargör processen kring disputation och vidtar de åtgärder som är nödvändiga för att dokumentera stegen i denna process. Högskolestyrelsens beslut R7 Högskolestyrelsen beslutar att godkänna de av rektor föreslagna åtgärderna. Uppföljning R7 I de nyligen antagna övergripande riktlinjerna finns krav på att disputationen ska vara opartisk och rättssäker. Tydliga jävsregler bör vara högskolegemensamma och styrdokumenten synkroniseras i enlighet med de övergripande riktlinjernas intention som en del i kommande kvalitetsarbete.