Anvisningar för intern styrning och kontroll vid Karolinska Institutet

Transkript

1 Anvisningar för intern styrning och kontroll vid Karolinska Institutet Universitetsförvaltningen Fastställda av rektor

2 Dnr: 2740/ INNEHÅLL 1 Institutionernas och styrelsernas arbete med intern styrning och kontroll 1 2 Obligatoriska moment som ingår i processen intern styrning och kontroll för institutioner och styrelser Riskanalys Riskidentifiering Riskvärdering vid workshop Riskhantering 3 3 Kontrollåtgärder 3 4 Uppföljning 4 5 Dokumentation 4 6 KI:s övergripande riskanalys 4 Utgivare: Karolinska Institutet Universitetsförvaltningen Version: Slutlig

3 Anvisningar för intern styrning och kontroll vid Karolinska Institutet 1 (5) 1 Institutionernas och styrelsernas arbete med intern styrning och kontroll Arbetet med intern styrning och kontroll vid KI sker enligt regler och riktlinjer fastställda av konsistoriet. I ansvarsområdet för chefer på olika nivåer ingår att upprätthålla en god intern styrning och kontroll utifrån ett antal obligatoriska moment. Processen för intern styrning och kontroll ska ingå i den verksamhetsplanering och uppföljning som genomförs vid respektive institution och verksamhetsstyrelse. Anvisningar med mallar för hur detta arbete ska gå till beslutas årligen av rektor. Respektive institution och styrelse ska vart tredje år genomföra och fastställa fördjupade riskanalyser i enlighet med dessa anvisningar. Mellanliggande år görs en uppföljning och revidering utifrån framtagen riskdokumentation. En komplett dokumentation av riskanalysen ska sparas och finnas tillgänglig på institution respektive styrelse. De fem högst värderade riskerna med tillhörande kontrollåtgärder som planeras ska dokumenteras i verksamhetsplanen och följas upp i verksamhetsberättelsen. En särskild kontaktperson bör utses som ansvarar för och samordnar arbetet. För att stödja institutionernas och styrelsernas riskanalysarbete erbjuds metodstöd och dokumentation från Universitetsförvaltningen. Universitetsförvaltningen arbetar därutöver med samordning, metodstöd och kvalitetssäkring. Ytterligare information och mallar finns på KI:s webb se vidare internwebben.ki.se/sv/intern-styrning-och kontroll. 2 Obligatoriska moment som ingår i processen intern styrning och kontroll för institutioner och styrelser 2.1 Riskanalys Att genomföra en riskanalys innebär att, utifrån de mål som finns för verksamheten, identifiera händelser som medför en risk, värdera identifierade risker och besluta om hur riskerna ska hanteras Riskidentifiering Riskidentifieringen görs genom en inventering av vilka händelser som negativt kan påverka möjligheter att uppnå målen för verksamheten. Institutionernas och styrelsernas mål ska utgå från KI:s övergripande målsättningar. Samtliga väsentliga processer, såväl kärn- som stödverksamheter ska ingå i riskanalysen. Då riskidentifiering kräver ingående kunskap om verksamheten ska personer med omfattande verksamhetskunskap delta för att kunna identifiera risker på

4 Anvisningar för intern styrning och kontroll vid Karolinska Institutet 2 (5) olika nivåer inom institutionen eller styrelsen. För att i största möjliga mån täcka in samtliga delar av verksamheten kan ett så kallat riskträd användas. Riskerna beskrivs utifrån på vilket sätt de påverkar möjligheterna till måluppfyllelse (se kontroll). Riskidentifieringen kan göras genom att ett mindre antal nyckelpersoner inom institutionen eller styrelsen intervjuas. Intervjuerna kan kompletteras eller ersättas med enkäter och/eller workshops. Den metod som rekommenderas är dock att använda intervjuer med eventuell komplettering. För exempel på frågor att använda vid intervjuer (se http: internwebben.ki.se/sv/intern-styrning-och kontroll). Som stöd i arbetet inför riskidentifieringen finns exempel på risker som tidigare identifierats vid KI. Institutionen eller styrelsen kan använda riskkatalogen som utgångspunkt i sin riskidentifiering. Var god kontakta verksamhetscontroller vid ledningskansliet, Universitetsförvaltningen för vidare information om distribution av underlaget Riskvärdering vid workshop Riskvärdering innebär att göra bedömningar av dels sannolikheten för att en risk inträffar, dels konsekvenserna/påverkan av inträffandet. För att få en så genomarbetad riskvärdering som möjligt bör ett relativt stort antal personer delta som gör bedömningar av sannolikhet och påverkan. Medverkande bör representera en bredd av olika funktioner och kompetens. Riskvärderingen genomförs med fördel vid ett så kallat riskseminarium (workshop). Vid seminariet görs en genomgång av de tidigare identifierade riskerna och därefter genomförs en värdering. Tidsåtgången beräknas till två timmar om högst ett 20-tal identifierade risker finns framtagna. Vid riskvärderingen rekommenderas att KI:s mentometerutrustning används. Mentometrarna ger ett snabbt och enhetligt resultat som samtidigt dokumenteras. Mentometerutrustningen går att låna från ledningskansliet vid Universitetsförvaltningen. Det finns ett framtaget exceldokument som kan användas för att presentera de identifierade riskerna vid riskseminariet och en mall i powerpoint för riskvärdering då mentometerutrustning används (se internwebben.ki.se/sv/intern-styrning-och kontroll). Den modell för riskvärdering som KI valt innebär att när sannolikheten för att en händelse inträffar och konsekvensen av det inträffade analyseras ska graden av sannolikhet och konsekvens/påverkan uttryckas i siffror. KI har valt en sifferskala på 1-4 där 1 är låg sannolikhet eller påverkan och 4 är mycket hög sannolikhet eller påverkan. Sannolikhetsvärdet multiplicerat med påverkansvärdet ger händelsens riskvärde. Riskkartan enligt bilaga 1 visar slutresultatet av den sammanlagda riskvärderingen och ger en vägledning för bedömningen av hur de olika riskerna kan väljas att hanteras. Grön innebär att risken accepteras medan röd innebär att risken ska reduceras om det är möjligt. Riskacceptansen kan vara olika inom

5 Anvisningar för intern styrning och kontroll vid Karolinska Institutet 3 (5) olika delar av verksamheten. Ledningen kan välja att acceptera en högre risknivå inom kärnverksamheterna utbildning och forskning för att inte avstå från utvecklingsmöjligheter medan riskacceptansen kan sättas lägre för universitetets stödverksamhet. Genom att värdera riskerna möjliggörs en gradering av riskerna och samtidigt skapas ett underlag för beslut om prioritering och hantering. Det är viktigt att tänka på att risker med låg sannolikhet och stor påverkan inte enbart kan bedömas utifrån det framräknade riskvärdet då påverkan kan innebära förödande konsekvenser för verksamheten. Risken kan behöva prioriteras trots att riskvärdet inte sammantaget blir så högt. Detsamma kan ibland gälla för risker med liten påverkan men mycket hög sannolikhet. Det är viktigt att betona att en riskvärdering inte är något som kan göras med exakthet. Det är mer intressant vilken placering de olika riskerna har i förhållande till varandra än riskernas exakta riskvärde. Bedömningarna utgörs av skattningar utifrån kända och okända faktorer och är ofta subjektiva. Nivån för när en risk är acceptabel eller inte är inte exakt utan avgörs av vilken bedömning institutionens ledning eller styrelserna gör Riskhantering Ledningen för institution eller styrelse ska ta ställning till hur de högst värderade riskerna ska hanteras vilket avgörs bland annat av vilken riskacceptans verksamheten har. Riskacceptansen kan vara olika inom verksamhetsområden och exempelvis högre för forskningsverksamheten än för ekonomiadministrationen. Beslut ska fattas om hur de högst värderade riskerna ska hanteras utifrån fyra typer av åtgärder: acceptera, begränsa, dela eller eliminera. att acceptera risk innebär att inte vidta några åtgärder att begränsa risk innebär att minska sannolikheten och/eller konsekvensen av att en händelse inträffar att dela risk innebär inom staten skadereglering via Kammarkollegiet att eliminera risk innebär att undvika de aktiviteter som ger upphov till risken De olika handlingsalternativen måste också ställas mot kostnaden för att genomföra dem. 3 Kontrollåtgärder Kontrollåtgärder är åtgärder som leder till att risker förebyggs eller minskas. De accepterade riskerna medför oftast inte några direkta kontrollåtgärder utan bevakas, medan övriga risker kräver åtgärder. Åtgärderna som vidtas kan vara av olika karaktär, alltifrån förändringar i arbetsrutiner, regler och riktlinjer till informationsinsatser och avstämningar. Eftersom kontrollåtgärderna ska vara integrerade i myndighetens verksamhet är det respektive chef inom verksamheten som är ansvarig för och har befogenhet

6 Anvisningar för intern styrning och kontroll vid Karolinska Institutet 4 (5) att utforma kontrollåtgärderna. Mer omfattande kontrollåtgärder som kräver planering och resurser ska finnas med i institutionens eller styrelsens verksamhetsplan. 4 Uppföljning Uppföljning ska genomföras löpande några gånger under verksamhetsåret (två till fyra gånger per år). I uppföljningen ingår att bedöma om de beslutade kontrollåtgärderna har genomförts och fungerat på det sätt som var avsett. Utifrån genomförd uppföljning kan institution eller styrelse omvärdera risken om risknivån sänkts till en acceptabel nivå. Exempelmall för uppföljning av kontrollåtgärder (se internwebben.ki.se/sv/intern-styrning-och kontroll). 5 Dokumentation En bra samlad dokumentation är nödvändig för att det ska vara möjligt att följa institutionens eller styrelsens process för intern styrning och kontroll. Det som ska finnas med i den samlade dokumentationen är en beskrivning av väsentliga risker med uppgift om värdering och beslut om hantering. Dokumentationen ska också innehålla resultatet av uppföljningen. 6 KI:s övergripande riskanalys Den KI-övergripande riskanalysen ska endast innehålla de prioriterade risker som bedöms relevanta för måluppfyllelsen för KI som helhet. Den och de därmed sammanhängande kontrollåtgärderna beslutas av konsistoriet. KI:s övergripande riskanalys utgörs av en aggregering av samtliga genomförda riskvärderingar vid institutioner och styrelser. De fem högst värderade riskerna på respektive institution och styrelse som bedöms kräva en mer övergripande diskussion ska därför även lämnas som ett underlag till ledningskansliet.

7 Anvisningar för intern styrning och kontroll vid Karolinska Institutet 5 (5) Bilaga 1 Exempel på riskkarta Riskkarta Risk- Analys Kontroll- Åtgärder Mycket hög 6 3 Hög Medel 4 Låg Låg Medel Hög Mycket hög Påverkan Sannolikhet 1. Låg 2. Medel 3. Hög 4. Mycket hög Konsekvens (påverkan på möjligheterna för institutionen eller styrelsen att nå målen) 1. Låg 2. Medel 3. Hög 4. Mycket hög