Intern styrning och kontroll

Transkript

1 Dnr UFV 2009/1486 Intern styrning och kontroll Riskanalys för universitetsövergripande risker Fastställd av Rektor

2 Innehållsförteckning Bakgrund och syfte 3 Intern styrning och kontroll inom universitetet 3 Arbetssätt 3 Riskidentifiering 3 Riskvärdering 4 Befintliga aktiviteter och kontrollåtgärder 4 Beslut om hantering 4 Uppföljning 5 Resultat 5 Kvalitet 6 Arbetsmiljö 6 Ledarskap 6 Kompetensförsörjning 6 Organisation 6 Stödfunktioner 7 Universitetets varumärke 7 Externa förutsättningar 7 Slutsatser 7 2

3 Bakgrund och syfte Syftet med denna analys av universitetets övergripande risker är att göra en kartläggning av de huvudsakliga riskområden som hanteras på ledningsnivå och centralt vid universitetet och de löpande aktiviteter och åtgärder som idag tillämpas för att hantera dessa risker. Analysen har även utgjort grund för diskussioner om eventuella ytterligare åtgärder och kommer också att utgöra en del av det underlag som konsistoriet behöver för att, i samband med årsredovisningen, göra bedömningen huruvida universitetets interns styrning och kontroll kan anses betryggande. Intern styrning och kontroll inom universitetet Huvuddelen av den interna styrningen och kontrollen vid universitetet finns integrerad i verksamheten i form av den styrning och det kvalitetsarbete som utförs genom ständigt pågående aktiviteter, och som syftar till att uppnå verksamhetens mål med beaktande av inre och yttre kvalitetskrav. Aktiviteterna består till stor del av preventiva åtgärder, rutiner och processer som har utvecklats under lång tid. En översiktlig beskrivning och kartläggning av den interna styrningen och kontrollen samt den interna miljön kommer att ges i slutrapporten för intern styrning och kontroll 2009 vid Uppsala universitet. Arbetssätt Riskanalysen för de övergripande riskerna har genomförts samlat för fakultets- och vetenskapsområdesnivå. Deltagare har varit bl.a. rektor, prorektor, vicerektorer, förvaltningsledning, dekaner, kanslichefer samt andra berörda avdelningschefer och arbetet har beretts och samordnats av planeringsavdelningen. Rapporten beskriver hur riskvärderingen har genomförts och ger en sammanfattning av hur varje riskområde har värderats och åtgärdats. De högst värderade riskerna för varje område kommenteras särskilt. I bilagorna återfinns resultatet i sin helhet. Riskidentifiering Det första steget i riskanalysen består i att identifiera omständigheter som utgör risk för att de krav som framgår av 3 myndighetsförordningen (2007:515) inte fullgörs. I myndighetsförordningen (2007:515) anges krav på att verksamheten bedrivs effektivt och enligt gällande rätt, att den redovisas på ett tillförlitligt och rättvisande sätt och att myndigheten hushållar väl med statens medel. Med effektiv verksamhet avses att myndigheten bedriver den verksamhet som riksdag och regering beslutat om samt att regeringens mål för verksamheten uppnås. Även myndighetens egna mål inkluderas. I 1 kap högskolelagen (1992:1434) och i regleringsbrevet finns bestämmelser för universitetets verksamhet uttryckta som mål. Dessa har i Mål och strategier för Uppsala universitet utvecklats och delats upp i fyra fokusområden: Ett universitet för framstående forskning; Ett universitet för förstklassig utbildning; Ett universitet i samhället; och En universitetsmiljö i utveckling. Som utgångspunkt för riskanalysen togs en preliminär lista fram över universitetsövergripande risker. Listan bygger på de seminarier och intervjuer som gjordes under 2008, och har bearbetats i styrgruppen och i samråd med områdeskanslierna. Syftet var att få fram en risklista som skulle utgöra underlag för riskanalysen vid dekanmötet i oktober

4 Riskvärdering Det andra steget i riskanalysen innebär att bedöma sannolikheten för att en händelse inträffar samt konsekvenserna av inträffandet. Värderingen av risken ska göras i förhållande till det mål eller verksamhetsresultat som den påverkar. Avsikten med att värdera riskerna är att möjliggöra en god resurshantering inom universitetet genom att avgöra vilka risker som bör prioriteras, dvs. är mest sannolika att inträffa och får störst konsekvenser för verksamheten. Vid riskvärderingen av de övergripande riskerna användes en femgradig skala för bedömning av sannolikhet respektive konsekvens: Sannolikhet Konsekvens 1 Inträffar mycket sällan eller aldrig 1 Mycket liten 2 Inträffar sällan 2 Liten 3 Inträffar ibland 3 Måttlig 4 Inträffar ofta 4 Stor 5 Löpande 5 Mycket stor Det finns ingen tydlig gränsdragning mellan de olika stegen i skalan och sannolikt lägger olika personer olika nyanser i värderingen. Värderingen gjordes av de personer som medverkade vid det s.k. dekanmötet. Förutom dekaner från samtliga fakulteter medverkade även universitetsledning, förvaltningsledning, studentrepresentanter samt ett antal avdelningschefer vid förvaltningen. Vid värderingen användes mentometrar, och ett medelvärde dokumenterades för varje värdering, som slutligen presenterades i en översiktlig graf. För att riskvärderingen så långt möjligt skulle avse den s.k. bruttorisken, dvs. den risk som uppstår om inget görs för att förhindra den, genomfördes den vid det första tillfället innan någon inventering av kontrollåtgärder gjorts. En inventering och beskrivning av befintliga åtgärder med koppling till varje risk gjordes därefter av projektgruppen i samverkan med berörda sakenheter inom förvaltningen. Ytterligare en riskvärdering genomfördes i universitetsledningen, som gjorde en bedömning av hur de tidigare gjorda riskvärderingarna stämde i perspektivet av befintliga åtgärder. Befintliga aktiviteter och kontrollåtgärder En inventering och beskrivning av löpande aktiviteter och kontrollåtgärder med koppling till varje risk gjordes av projektgruppen i samverkan med berörda enheter inom förvaltningen. Beslut om hantering Det tredje steget i riskanalysarbetet är att, mot bakgrund av det identifierade och värderade riskerna, besluta om hur riskerna ska hanteras. Teoretiskt sett finns fyra alternativa hanteringsbeslut: att eliminera en risk genom att upphöra med verksamheten som ger upphov till denna risk, att acceptera en risk genom att välja bort direkta åtgärder, att dela en risk med annan part t.ex. genom att försäkra sig eller, och framför allt, att med olika former av kontrollåtgärder minimera riskens skadeverkningar. 4

5 Enligt den teoretiska modellen ska beslut om hantering fattas mot bakgrund av den önskade risknivån och ska bedömas i ett kostnads- och nyttoperspektiv. För universitetets del fattas beslut om hantering i stor utsträckning utifrån en kvalitativ värdering, där flera faktorer vägs in. Beslut om hantering av de övergripande riskerna gjordes av rektor i samband med fastställande av riskanalysen och efter en bedömning i universitetsledningen. Mot beaktande av de löpande aktiviteter som idag finns integrerade i den löpande verksamheten och de kontrollåtgärder som identifierats och kopplats till den specifika risken beslutades att för samtliga risker accepterades den återstående risken. Eftersom samtliga risker därigenom bedömdes vara väl omhändertagna beslutades inte om några ytterligare åtgärder utöver de redan pågående. Uppföljning De åtgärder som kategoriseras som löpande aktiviteter består till stor del av utarbetade rutiner och processer som inte direkt är uppföljningsbara. De kontrollåtgärder som beslutats om följs däremot upp på olika sätt beroende på åtgärdens karaktär. Uppföljningen integreras i den ordinarie verksamhetsplaneringen, och ansvaret för att följa upp att åtgärderna utförs och får avsedd effekt följer universitetets delegationsordning. Resultat De universitetsövergripande riskerna delades in i åtta huvudområden med tillhörande riskformulering: 1. Kvalitet Risk att kvaliteten i kärnverksamheten är otillräcklig 2. Arbetsmiljö Risk att grundläggande krav på arbetsmiljö, lika villkor och yttre miljö inte uppfylls 3. Ledarskap Risk att ledarskapet är otillräckligt 4. Kompetensförsörjning Risk att Uppsala universitet inte lyckas rekrytera tillräckligt kvalificerad personal 5. Organisation Risk att organisationsstrukturen inte stöder kärnverksamheten på ett optimalt sätt 6. Stödfunktioner Risk att stödet till kärnverksamheten brister i effektivitet 7. Universitetets varumärke Risk att omvärldens syn på Uppsala universitet försämras 8. Externa förutsättningar Risk att kärnverksamheten inte kan bedrivas tillfredsställande pga. externa förutsättningar För varje område identifierades ett antal delrisker som värderades var för sig. Vid den inledande riskanalys som genomfördes vid dekanmötet den 22 oktober 2009 tillkom ytterligare fyra risker utöver de som tidigare identifierats. Vid en andra genomgång av riskerna i universitetsledningen hade en inventering och beskrivning gjorts av löpande aktiviteter och kontrollåtgärder. Med detta som underlag fattade rektor beslut om att de risker som värderats i nuläget anses vara tillräckligt väl omhändertagna. För risker som är kopplade till externa förutsättningar och som vid den initiala värderingen bedömdes ha ett högt riskvärde, finns det små möjligheter för universitetet att påverka risken, och dessa har därför accepteras trots det höga riskvärdet. Nedan beskrivs riskområdena med de högst värderade riskerna. 5

6 Kvalitet Den övergripande risken för området är att kvaliteten i kärnverksamheten är otillräcklig. Inom kvalitetsområdet ansågs risken för att universitetet producerar mindre mängd grundforskning ha det högsta riskvärdet (Sannolikhet: Ofta; Konsekvens: Mycket stor). Grundforskningen, dvs. den fria forskarstyrda nyfikenhetsforskningen, är den främsta och effektivaste drivkraften för fortsatt kunskapsutveckling och den forskning som samhället på lång sikt har mest nytta av. Den förskjutning som sker gradvis från forskarstyrd grundforskning till mer kortsiktigt nyttoinriktad forskning hotar kvaliteten på sikt. Några åtgärder för att hantera risken har man inte ansett behövas. Arbetsmiljö Den övergripande risken för området är att grundläggande krav på arbetsmiljö, lika villkor och yttre miljö inte uppfylls. Arbetsmiljö på en universitetsövergripande nivå gavs måttliga riskvärden (S: Sällan; K: Stor). Risken anses generellt vara tillräckligt väl omhändertagen, inte minst genom det senaste årets satsningar som görs inom arbetsmiljöområdet och avsättning av särskilda resurser för att implementera universitetets arbetsmiljöpolicy. Inom personalavdelningen har dessutom en ny enhet för lika villkor inrättats under året för att förstärka specialiststödet till fakulteter och institutioner. Ledarskap Den övergripande risken för området är att ledarskapet är otillräckligt. Den risk som berör riskområdet ledarskap och som värderats högst var att prefekternas förutsättningar för att utföra prefektuppdraget är otillfredsställande (S: Ofta; K: Stor). Risken lyftes fram redan under 2008, och åtgärder har inletts för att hantera risken ytterligare. Som exempel kan nämnas att rektor under 2009 har beslutat att göra prefektutbildningen obligatorisk. Dessutom pågår inom fakulteterna införande av mentorsprogram för nytillträdda prefekter och dekaner samt arbete med att utöka ledarskapsstödet till prefekter. Kompetensförsörjning Den övergripande risken för området är att Uppsala universitet inte lyckas rekrytera tillräckligt kvalificerad personal. Rekryteringsprocessen och dess inverkan på möjligheterna att rekrytera tillräckligt kvalificerad personal har diskuterats ur flera aspekter. Rekryteringsprocessen i sig har analyserats och hanteras i flera påbörjade projekt. Den risk som fick det högsta riskvärdet var dock löneläget, som motverkar att de mest kvalificerade forskarna och lärarna söker sig till Uppsala universitet (S: Ofta; K: Mycket stor). Situationen varierar emellertid mycket för olika områden och ämnen. Universitetet hanterar risken dels genom att skapa goda arbetsvillkor vilket indirekt kan påverka rekryteringssituationen, dels genom att arbeta strategiskt med en tydlig arbetsgivarpolitik. Den effektivisering av rekryteringsprocessen som pågår syftar också till att förbättra rekryteringssituationen generellt. Mot bakgrund av de åtgärder som pågår anses risken vara omhändertagen. Organisation Den övergripande risken inom området är att organisationsstrukturen inte stöder kärnverksamheten på ett optimalt sätt. Inom riskområdet organisation har risken att små institutioner har svårt att upprätthålla tillräckliga egna stödfunktioner värderats högst (S: Ofta; K: Stor). De befintliga åtgärderna anses emellertid vara 6

7 tillräckliga för att hantera risken, både de åtgärder som leder till olika typer av omorganisationer inom fakulteterna, och de åtgärder som direkt bidrar till att stärka den administrativa kompetensen vid institutionerna. Stödfunktioner Den övergripande risken för området är att stödet till kärnverksamheten brister i effektivitet. Risken att utveckling och införande av arbetssätt och IT-baserade systemstöd brister i samordning lyftes fram under ISK-arbetet 2008 och har värderats relativt högt (S: Ofta; K: Stor). Olika kontrollåtgärder och projekt har påbörjats och planeras inom universitetsförvaltningen för att förbättra samordningen och ytterligare nya åtgärder för att hantera risken anses inte behöva initieras i nuläget. Universitetets varumärke Den övergripande risken för området är att omvärldens syn på Uppsala universitet försämras. Generellt för de risker som kopplas till universitetets varumärke är att de sannolikt inträffar sällan, men kan medföra betydande konsekvenser om de väl inträffar. Åtgärder och aktiviteter för att hantera de risker som kan komma ifråga varierar, men både arbetet med att förebygga missförhållanden av alla slag och att utveckla marknadsföringen kontinuerligt anses ge en tillräckligt god grund för att hantera risken. Externa förutsättningar Den övergripande risken för området är att kärnverksamheten inte kan bedrivas tillfredsställande pga. externa förutsättningar. De externa förutsättningarna har diskuterats ur flera aspekter. Förutom att betraktas som risker för verksamheten är det de grundläggande villkor som gäller för universitetet som statlig myndighet. Båda de delrisker som tagits upp har fått höga riskvärden (S: Ofta; K: Stor) och hanteras genom löpande rutiner och aktiviteter, och anses därmed vara omhändertagna. Den återstod som inte kan åtgärdas accepteras. Slutsatser Arbetet med universitetets övergripande risker har generellt fungerat bra, och merparten av universitetets och fakulteternas ledningar har deltagit. De riskområden och risker som har lyfts fram kommer att utgöra grund för återkommande riskanalyser, där nya risker sannolikt kommer att läggas till de redan nämnda. Förnyade riskvärderingar kan också förväntas ge vissa förändringar i riskvärdet i takt med att kvaliteten i och kunskapen om metoden förbättras. 7