Inspektion av internrevisionsverksamheten på Svensk Kärnbränslehantering AB

Transkript

1 Tillsynsrapport Datum: Er referens: Diarienr: SSM Förrättningsdatum: Inspektera SKB Ansvarig handläggare: Cecilia Wahlund Arbetsgrupp: Cecilia Wahlund KM och Elisabet Höge RD Samråd: Anna Bärjegård KM, Eric Häggblom RD Godkänt av: Anne Edland ckm Inspektion av internrevisionsverksamheten på Svensk Kärnbränslehantering AB Sammanfattning Strålsäkerhetsmyndigheten (SSM) genomförde i september 2013 en inspektion av internrevisionsverksamheten på Svensk Kärnbränslehantering AB (SKB). Syftet med inspektionen var att få en heltäckande bild av SKB:s process för internrevision samt hur resultatet av den används för att utvärdera och utveckla ledningssystemet och verksamheten. SSM konstaterar att internrevisionsfunktionen på SKB är fristående och att det finns dokumenterade rutiner för internrevisionsverksamheten. Revisioner genomförs av medarbetare med kännedom om verksamheten samt metodkunskap och ett fastställt revisionsprogram finns. SSM bedömer dock att SKB inte fullt ut uppfyller kravet på ledning, styrning och internrevision enligt 2 kap. 8 Strålsäkerhetsmyndighetens föreskrifter (SSMFS 2008:1) om säkerhet i kärntekniska anläggningar. SSM bedömer att SKB brister i hanteringen av avvikelser identifierade vid internrevision då ett stort antal avvikelser inte åtgärdas inom utsatt tid. SKB brister även i uppföljning av vidtagna åtgärder då effektutvärdering inte görs. SKB behöver säkerställa att avvikelser i högre grad åtgärdas inom utsatt tid och att effekter av vidtagna åtgärder utvärderas. SSM bedömer att SKB brister gällande periodiciteten för utpekade revisionsområden. SKB behöver säkerställa att spårbarhet finns gällande vilka områden som har reviderats och vid vilken tidpunkt. SKB behöver även värdera vilka tidsintervall som ska gälla för olika områden utifrån säkerhetsmässig betydelse. Bakgrund Tillståndshavarnas internrevisionsverksamhet är en viktig del i deras eget arbete med att följa upp och ständigt förbättra verksamheten. SSM genomför regelbundet tillsyn inom Strålsäkerhetsmyndigheten Swedish Radiation Safety Authority SE Stockholm Tel: E-post: registrator@ssm.se Solna strandväg 96 Fax: Webb: stralsakerhetsmyndigheten.se

2 Sida 2 (7) detta område för att kontrollera kravuppfyllnad och för att verka pådrivande. Denna inspektion är ett led i detta arbete. Syfte Syftet med inspektionen var att få en heltäckande bild av SKB:s process för internrevision samt hur resultatet av den används för att utvärdera och utveckla ledningssystemet och verksamheten. Inspektionen fokuserade på hur resultatet av internrevisioner tas omhand och tillförs de reviderade verksamheternas förbättringsarbete samt hur ledningen använder resultatet för att utvärdera och utveckla ledningssystemet och verksamheten. Syftet var vidare att bedöma hur SKB uppfyller tillämpliga krav i SSMFS 2008:1 samt att vara pådrivande inom området. Metod inklusive avgränsningar Inspektionen genomfördes genom: Dokumentgranskning av relevanta SKB-rutiner och -instruktioner Intervjuer med berörda inom verksamheten bland annat: o VD o cs o csq o Internrevisor o Medarbetare i verksamheten som ansvarar för att åtgärder genomförs Ett stort fokus lades på att följa olika stickprov av genomförda internrevisioner för att se hur resultat från dessa har omhändertagits och följts upp i praktiken. Det innebär att SSM har tittat på genomförandet av internrevisioner på en mycket övergripande nivå. Krav Följande krav i SSMFS 2008:1 kommer att användas för att bedöma kravuppfyllnaden: 2 kap. 8 Den kärntekniska verksamheten ska ledas, styras, utvärderas och utvecklas med stöd av ett enhetligt ledningssystem som är så utformat att kraven på säkerhet, strålskydd och fysiskt skydd tillgodoses samordnat med övriga krav på verksamheten. Ledningssystemet, inklusive tillhörande rutiner och instruktioner, ska hållas aktuellt och vara dokumenterat. Tillämpningen av ledningssystemet, dess ändamålsenlighet och effektivitet ska systematiskt och periodiskt undersökas av en revisionsfunktion som ska ha en fristående ställning i förhållande till de verksamheter som blir föremål för revision. Ett fastställt revisionsprogram ska finnas vid anläggningen. Observationer och bedömningar Observationer På SKB finns en rutin för internrevisionsverksamhet, SD-005 Internrevison [1]. I den framgår hur processen ser ut från planering till genomförande och uppföljning. På SKB finns ett program för internrevisioner som sträcker sig över 8 år [2]. Varje år, i december, ses revisionsprogrammet över för nästkommande 4-årsperiod. VD godkänner revisonsprogrammet. I rutinen framgår de olika områden som SKB pekat ut som föremål för internrevision. Dessa områden ska enligt rutinen revideras regelbundet och minst vart fjärde år (se bilaga 1 SD-005). SSM kan konstatera att det finns områden som, enligt

3 Sida 3 (7) dokumentation, inte har reviderats vart fjärde år (t.ex. säkerhetsledning, underhåll kärntekniska anläggningar, organisations- och verksamhetsförändringar) [3]. SSM kan även konstatera att SKB själva har identifierat denna avvikelse från rutinen i en revision av internrevisionsverksamheten 2013 [4]. SSM kan efter intervjuer konstatera att SKB har vidtagit åtgärder för att komma tillrätta med detta problem och för att säkerställa att 4- årsintervallet innehålls. SKB har bland annat gjort en dokumenterad kartläggning över alla genomförda revisioner sedan 2009 och vilka områden dessa har berört. Denna kartläggning har visat på att i stort sett alla områden faktiskt har blivit reviderade inom ett 4-årsintervall, men inom ramen för ett annat revisionsområde. Gällande vilken frekvens som respektive revisionsområde ska revideras med så har SKB tidigare utgått från 4-årsintervall rakt av på alla områden. SKB har identifierat ett behov av att se över de revisionsområden som finns. SSM kunde under inspektionen inte se att diskussioner kring intervall utgick från en värdering av respektive områdes säkerhetsmässiga betydelse. SKB:s internrevisionsverksamhet drivs av avdelning Säkerhet, kvalitet och miljö (avdelning S). Det finns en funktion som arbetar med planering och uppföljning av internrevisioner och är den som håller samman internrevisionsarbetet på SKB. Det finns interna revisorer och revisionsledare. SKB hyr även in externa revisorer och revisionsledare vid behov. Vid varje revision ska i regel minst en person i revisionsteamet vara SKB-anställd. I organisationen finns ett antal kvalitetsamordnare som stödjer chefer och medarbetare i arbetet med bland annat avvikelser identifierade vid internrevision. I SKB:s rutin för Avvikelsehantering [5] framgår att kvalitetssamordnaren inte har något ansvar, utan stödjer rapportör och chef vid rapportering respektive hantering av avvikelse. I samma rutin framgår också att det är chefer som bär ansvaret för avvikelsehantering. SSM observerade vid intervjuer att det ser olika ut inom olika avdelningar hur man organiserar arbetet med avvikelsehantering. Det är upp till varje avdelningschef att bestämma hur arbetet ska se ut. Avdelningarna har enligt de intervjuade inte någon direkt insyn i varandras arbetssätt. Vid intervjuer framkom att kvalitetssamordnare upplevs som ett bra stöd vid hantering av avvikelser. Vidare har SSM sett tendenser på att ansvarig för avvikelse (i stor utsträckning chefer) i hög grad förlitar sig på kvalitetssamordnaren när det gäller hanteringen av avvikelser. SSM har också, vid intervjuer, uppfattat att kvalitetssamordnaren förväntas driva detta arbete. Utifrån intervjuer kan SSM konstatera att medarbetare på SKB anser att genomförandet av revisioner fungerar på ett tillfredställande sätt. I SD-005 framgår att den organisationsdel eller funktion inom SKB där avvikelser eller observationer identifierats vid internrevision är delaktig i att: gå igenom resultaten och ta reda på orsaker till avvikelser ta fram korrigerande åtgärder och tydliggöra förväntade effekter ta fram en tidsatt plan för genomförande av åtgärder ta fram ett dokumenterat svar på revisionsrapporten inom två veckor göra effektuppföljning I SD-005 framkommer att verksamheten där avvikelse har identifierats ska följa upp och verifiera genomförandet av korrigerande åtgärder och uppdatera revisionsrapporten med information om status för åtgärder (t.ex. avklarad, ändrad tidplan). När alla åtgärder anses vara genomförda kan revisionen avslutas. Internrevisionsfunktionen, i samråd med reviderad verksamhet, avgör om en revision kan avslutas och internrevisionsfunktionen rekommenderar kvalitetschef och vd att stänga revisionen. Internrevisonsfunktionen gör en kvalitetskontroll innan avslut för att säkerställa att åtgärderna faktiskt är genomförda på

4 Sida 4 (7) ett tillfredställande sätt. Det framkommer också i rutinen att verksamheten ska följa upp effekter av åtgärder och värdera om de är tillfredställande. Även internrevisionsfunktionen gör till viss del effektuppföljningar vid nästkommande internrevison inom respektive område. I rutinen står också att nya åtgärder ska tas fram om de ursprungliga inte gett avsedd effekt. I rutinen står att en revision kan avslutas först efter att effekter av åtgärder har följts upp. Men vid intervju med internrevisionsfunktionen framkom att detta är en olycklig formulering och att en revision ska avslutas när alla åtgärder är genomförda. Effekter kan följas upp lång tid efter att åtgärden genomförts och tas då omhand i SKB:s övergripande avvikelsehanteringsdokument, SD-027 Förteckning över förbättringsarbete på SKB. SSM kan konstatera att SD-005 uppdaterades under hösten 2012 med instruktioner kring effektuppföljning. Denna del av uppföljningen är alltså relativt ny inom SKB. Det framkom vid intervjuer att flertalet chefer inte kände till den uppdaterade rutinen med instruktion om effektuppföljning. SSM har dock observerat ett exempel där ansvarig för åtgärd har dokumenterat förväntad effekt och jobbar med att följa upp åtgärder enligt den uppdaterade instruktionen. Den intervjuade upplevde att det var en utmaning att formulera förväntade effekter men såg också nyttan med att göra det. Vid detta arbete har stöd givits av internrevisionsfunktion. Vid intervjuer framkom att det har genomförts utbildning i enklare orsaksanalys riktad till kvalitetssamordnare. Under hösten 2013 planeras informationsinsatser till ledningsgrupper inom SKB för att öka förståelsen för internrevisionsprocessen, orsaksanalys och effektuppföljning. Ett antal av SKB:s kvalitetssamordnare och några chefer från olika delar av organisationen, ingick i den så kallade OBS-gruppen. Informationsinsatsen genomförs av kvalitets- och internrevisionsfunktionen utifrån OBS-gruppens resultat. Det framkom också vid en intervju att den tid man har på sig (två veckor) att besvara revisionsrapporten (identifiera orsaker och ta fram åtgärdsförslag) upplevs vara för kort och att risk finns för att man ger ett ogenomtänkt svar. SSM kan konstatera att det finns en stor andel åtgärder inom SKB som inte följer utsatt tidplan. I juli 2013 följde endast 37 % av alla åtgärder ursprunglig tidplan. SSM kan konstatera att SKB själva har identifierat denna avvikelse i en revison av internrevisionsverksamheten 2013 [4] och ett antal åtgärder är planerade för att bryta denna trend. SKB har bland annat angett att de ska lägga större vikt vid uppföljning av avvikelsehantering på företagsledningsmöten och i samband med kvartals-uppföljning. Under intervjuer med csq och kvalitetschef framkom att arbete görs för att kunna avsluta gamla åtgärder, från 2010 och bakåt. Bland annat hjälper internrevisionsfunktionen till med att formulera nya åtgärder för gamla avvikelser så att de blir aktuella och relevanta samt uppdatera tidplaner. Vid intervjuer framkom att det görs månatliga uppföljningar av framdrift av avvikelsehantering på företagsledningsmöte. Dessutom framkom att VD har för avsikt att vid kvartalsvisa uppföljningsmöten med varje avdelningschef göra uppföljning beträffande avvikelsehantering. SSM kunde konstatera att det endast var en av de intervjuade som pekade på att denna, kvartalsvisa, uppföljning faktiskt gjordes och att den medförde ökat fokus på avvikelsehanteringen. SSM har utifrån intervjuer sett att det finns flera olika orsaker till att SKB har problem med att genomföra åtgärder enligt tidplan. Det uttrycktes att ansvariga för avvikelser ofta tenderar att föreslå omfattande åtgärder, som många gånger täcker in mycket mer än bara den identifierade avvikelsen. SKB uttrycker sig som att det finns tendenser att de som är ansvariga för den reviderade verksamheten själva hakar på ytterligare förbättringsåtgärder när man ändå håller på. Detta medför att det tar lång tid att genomföra åtgärder. Vid intervjuer uppfattade SSM att de berörda ibland upplever att syfte och inriktning på

5 Sida 5 (7) revisioner är för omfattande och att detta kan bidra till att även åtgärderna till de identifierade avvikelserna blir för omfattande. Internrevisionsfunktionen har för avsikt att stötta ansvariga i dessa frågor för att få tydligare och mer avgränsade åtgärder. Internrevisionsfunktionen var under intervju också tydlig med att internrevisioner är en del av förbättringsarbetet, men att det arbetet måste pågå även mellan revisioner. Funktionen vill också förtydliga hela processen för avvikelsehantering för att öka förståelsen för dess betydelse för verksamheten. Vid intervjuer uppfattade SSM att det finns en känsla av att bli dränkt i avvikelser. Särskilt i delar av verksamheten som har många olika kravbilder på sig. Att omhänderta avvikelser identifierade vid revision tar mycket kraft från ansvariga och det är svårt att hitta den tid som behövs för att kunna omhänderta allting. Medarbetare upplever att det inte alltid finns förutsättningar att identifiera de avvikelser som är viktigast. Det framkom att organisationen ibland har en tendens att skjuta åtgärdandet av en avvikelse på framtiden, i väntan på ett bra tillfälle för att genomföra åtgärden. Detta gör att själva avvikelsen kvarstår under lång tid. De intervjuade uttryckte att avvikelsehantering har en lång kommunikationsväg inom delar av organisationen. VD:s och ledningens förväntningar inom detta område är mindre direkta och tydliga jämfört med exempelvis budgetfrågor. Detta medför, enligt intervjuade, att detta område inte får den status det förtjänar (hamnar längre ner i prioriteringsordningen). Det uppfattas som att avvikelsehantering tar omvägen via avdelning S och därför tappar i kraft och status jämfört med sådant som kommer direkt från VD. SSM har dessutom uppfattat att identifierade avvikelser från internrevisioner inte ligger särskilt högt på prioriteringslistan för avdelningschefer. SSM noterade även vid en intervju att det inom SKB förekommit att medarbetare blir tillsagda av högre chef att inte rapportera identifierade avvikelser, med motivet att det ser illa ut att ha avvikelser inom avdelningen. Under intervjuer framkom att det förekommer en förväntan hos utpekade ansvariga för avvikelser att få hjälp av revisionsteamet att identifiera orsaker och ta fram åtgärdsförslag. SSM observerade att det inom SKB finns en viss begreppsförvirring gällande området. Det verkar finnas olika uppfattningar om vad som ingår i avvikelsehantering respektive förbättringsarbete och vad som skiljer dem åt. Vidare kunde SSM se att attityden till avvikelsehantering skiljer sig inom SKB. Inom de organisationsdelar som hanterar stora projekt finns en vilja till förbättring, men attityden till hur det ska göras ser annorlunda ut jämfört med andra organisationsdelar. Bedömningar SSM bedömer, utifrån ovanstående observationer, att SKB har förutsättningar att genomföra internrevisoner på ett tillfredställande sätt och därmed har förutsättningar att utvärdera sitt ledningssystem. SSM bedömer vidare att SKB inte i tillräcklig utsträckning åtgärdar identifierade avvikelser och därmed inte har förutsättningar för att kunna utveckla sitt ledningssystem. SSM konstaterar utifrån observationer att SKB har följande brister: Ägandeskap och ansvar gällande avvikelsehantering är otydligt i praktiken VD:s förväntningar når inte ut i organisationen Avvikelser får inte alltid den prioritet som de förtjänar och tas inte på allvar Det finns en viss förvirring kring begreppen avvikelsehantering och förbättringsarbete

6 Sida 6 (7) SSM bedömer att SKB inte har tillräcklig förmåga, i form av attityd och förståelse, att åtgärda avvikelser. De åtgärder som SKB arbetar med för att komma tillrätta med den stora mängden ej åtgärdade avvikelser har ännu inte gett avsedd effekt. SSM är inte heller övertygad om att dessa åtgärder kommer åt hela problematiken Detta med hänsyn till de ovan nämnda bristerna, som SSM inte ser omhändertas på ett tydligt sätt i de åtgärder som SKB hittills vidtagit. SSM förväntar sig att SKB fortsätter arbeta med dessa frågor för att komma till rätta med problematiken med icke åtgärdade avvikelser. Dessutom bedömer SSM att SKB inte kan påvisa att ledningssystemet utvecklas då effektutvärdering inte görs. Så länge inte eventuella effekter av vidtagna åtgärder följs upp har SKB ingen möjlighet att säkerställa att de vidtagna åtgärderna är de rätta och därmed inte heller möjlighet att utveckla ledningssystemets ändamålsenlighet. SSM ser dock att SKB, genom instruktioner, styr att effektutvärdering ska göras, men att detta ännu inte tillämpas fullt ut i organisationen. SSM bedömer att den avvikelse som SKB identifierat i revisionen gällande avsteg från 4-årsintervall är allvarlig. SSM noterar att SKB arbetar med att komma tillrätta med detta. Det sker dels genom kartläggning av revisionsområden bakåt i tiden och dels genom att informera i ledningsgruppen om 4-årsintervallets betydelse. SSM noterar även att SKB avser att se över de revisionsområden som gäller idag. SSM gör bedömningen att dessa åtgärder ger förutsättningar för SKB att komma tillrätta med problematiken gällande avsteg från 4-årsintervallet. Samlad bedömning av kravuppfyllelse SSM konstaterar att internrevisionsfunktionen är fristående och att det finns dokumenterade rutiner för internrevisonsverksamheten. Revisioner genomförs av medarbetare med kännedom om verksamheten samt metodkunskap. Ett fastställt revisionsprogram finns. Internrevisioner identifierar avvikelser och ger därmed förutsättningar att utveckla ledningssystemet. SSM bedömer att SKB brister i hanteringen av avvikelser då ett stort antal avvikelser inte åtgärdas inom utsatt tid. Dessutom bedömer SSM att SKB brister i uppföljning av vidtagna åtgärder då effektutvärdering inte görs. SSM bedömer att SKB behöver säkerställa att avvikelser i högre grad åtgärdas inom utsatt tid och att effekter av vidtagna åtgärder utvärderas. SSM bedömer att SKB har brister gällande periodiciteten för utpekade revisionsområden. SKB behöver säkerställa att spårbarhet finns gällande vilka områden som har reviderats och vid vilken tidpunkt. SKB behöver även värdera vilka tidsintervall som ska gälla för olika områden utifrån säkerhetsmässig betydelse. SSM:s samlade bedömning är därmed att SKB inte fullt ut uppfyller kravet på ledning, styrning och internrevision enligt 2 kap. 8 SSMFS 2008:1. Strålsäkerhetsbetydelsen av bristerna ovan bedömer SSM i dagsläget som måttlig. Om bristerna inte åtgärdas kan emellertid strålsäkerhetsbetydelsen öka på sikt. Detta med hänsyn till att förutsättningarna för SKB att upprätthålla ett aktuellt och ändamålsenligt ledningssystem minskar i takt med att avvikelser inte åtgärdas och effekter av vidtagna åtgärder inte följs upp. Referenser 1. SD-005 Internrevision ver SD-004 Internrevisionsprogram Beslutsunderlag internrevisionsprogram , ver. 1.0

7 Revision av revisionsverksamheten ver SD-006 Avvikelsehantering, ver Sida 7 (7)