2) (Dnr. Dnr LED 1.4-2017/553) 1 (av Malmö universitet, Internrevisionen, Staffan Ivarsson, Internrevisionschef BESLUT Staffan Ivarsson Till styrelse och rektor Revisionsplan och riskanalys för Malmö högskola 2018 1. Internrevisionens syfte och mål Internrevisionen vid Malmö högskola bedrivs enligt Internrevisionsförordningen (2006:1228), internrevisionens instruktion, Ekonomistyrningsverkets (ESV:s) riktlinjer samt internationella riktlinjer eller standards för yrkesmässig internrevision. Internrevisionens (IR) syfte är att vara styrelsens och ledningens stöd i utvecklingen av en ändamålsenlig intern styrning och kontroll. IR ska granska och utvärdera i vad mån den interna styrningen och kontrollen på ett tillfredsställande sätt stödjer ledningens ansvar för att en ändamålsenlig och effektiv verksamhet bedrivs, att tillämpliga lagar och förordningar efterlevs, att verksamheten redovisas på ett tillförlitligt och rättvisande sätt samt att myndigheten hushållar väl med statens medel. Internrevisionen ansvar för uppsikt, riskbedömningar samt granskningar omfattar hela organisationen, något som skapar goda förutsättningar för att finna och sprida goda exempel och därigenom bidra till ökad enhetlighet och synergi i processer och rutiner mellan olika verksamhetsdelar. Internrevisionen ska sammanfattningsvis vara en objektiv, granskande, stödjande och rådgivande funktion, vilken tillför högskolans verksamhet ett mervärde och stödjer utvecklingen av en ändamålsenlig intern styrning och kontroll. Postadress Malmö universitet Universitetsstyrelsen 211 18 Malmö Besöksadress Nordenskiöldsgatan 1 Telefon 040-665 70 76 Fax E-post staffan.ivarsson@mau.se Webb www.mau.se
2 (av 12) 2. Organisation och resurser 4. Riskanalys Högskolans internrevision är organiserad som en oberoende funktion som ska vara organiserad direkt under Malmö högskolas styrelse. Administrativt är internrevisionen en del av rektorsfunktionen. Bemanningen planeras för 2018 uppgå till en heltidsanställd internrevisionschef. Internrevisionen förfogar enligt denna förutsättning cirka 1000 timmar för granskningar under verksamhetsåret. Utöver beskrivna revisionsinsatser enligt revisionsplanen kan tillkommande uppdrag behöva genomföras om behov uppstår. Framställan om behov av revidering av planen eller av ev. större tilläggsuppdrag utöver planering görs till styrelsen. En separat budget om SEK 100 000 för löpande utgifter har upprättats separat. Målsättningen är att revisionen ska inriktas mot områden där det finns risk för väsentliga brister som kan påverka högskolans möjligheter att dels leva upp till den tredje paragrafen om ledningens ansvar i Myndighetsförordning (2007:515) och dels förverkliga sina uppgifter och nå sina mål. Ur detta perspektiv definieras risk som interna och externa faktorer som påverkar myndighetens förutsättningar för, eller förmåga, att uppfylla ändamålet med verksamheten samt att nå målen. Risk kan definieras lika mycket utifrån faran att något fördelaktigt inte sker, dvs förlorade möjligheter eller misslyckanden, som hotet av att något betydelsefullt inte uppnås. IR gör löpande riskanalyser över året och sammanfattar en gång per år, i samband med framtagandet av förslaget till revisionsplan för nästkommande år, en riskanalys som beskriver den riskmiljö högskolan lever i. Genomförandet av den större riskanalysen har innefattat intervju med ledande befattningshavare och personer på olika nivåer i organisationen, analys av omvärlden, kunskaper och erfarenheter från tidigare gransknings- och rådgivningsuppdrag samt generella risker inom andra motsvarande organisationer. Internrevisionen har tagit del av den senast framtagna högskoleövergripande riskanalys som beslutats av rektor 2016-06- 09 (LED 1.3-2016/278). Den fokuserar på riskområdena utbildning, forskning, migrationssituationen, organisationskultur, kompetensförsörjning och lokalförsörjning. Under hösten och vintern 2017 har det på institutionerna tagits fram uppdaterade
3 (av 12) riskanalyser på institutionsnivå 1. Riskerna klassificeras och värderas samt indelas i tre grupper; generella, strategiska och institutionsspecifika risker. Dessa riskangivelser kan kategoriseras som egenvärderingar, i enlighet med regeringens förordning (2007:603) om intern styrning och kontroll. När det gäller verksamheternas angivna generella risker sticker fyra ut som de mest allvarliga med klart högst genomsnittliga riskvärden. Det gäller: Risk för bristande kommunikation och samarbete mellan akademisk verksamhet och stödverksamhet. Risk att lokalerna för anställda inte stödjer forskningens och utbildningens behov Risk att lokalerna inte stödjer studenternas behov. Risk för kvalitetssänkning inom utbildning (grund och avancerad nivå) på grund av stagnerade eller minskade anslag/avgifter. När det gäller verksamheternas angivna strategiska risker sticker fyra ut som de mest allvarliga med klart högst genomsnittliga riskvärden. Det gäller: Risk att otillräcklig finansiering av forskningstid via forskningsanslaget försvårar rekrytering och gör det svårare att behålla forskande personal. Risk för att administration tar forskningstid i anspråk vilket leder till att forskningen inte växer till sin fulla potential. Risk för att Malmö universitet inte kan erbjuda tillräckligt attraktiva anställningsvillkor vilket leder till otillräcklig kompetensförsörjning. Risk för att lokaler för utbildning, forskning och tandvård inte stödjer högsta kvalitet i verksamheten. När det gäller verksamheternas angivna institutionsspecifika risker sticker följande ut som de mest allvarliga med klart högst genomsnittliga riskvärden. Det gäller: Svårigheter att rekrytera lärare med både forskningsoch specialistkompetens Risk att vi inte får lokalkostnader som kan bäras. 1 Dnr LED 1.3-2017/416
4 (av 12) Oacceptabelt litet forskningsanslag sett till relationen mellan antalet GU-studenter och forskningsanslaget vilket leder till en allt för liten forskningsmiljö avseende senior forskning, antal doktorander, post doc vilket i sin tur även leder till för få externa forskningsintäkter. Ökad administration för lärare på grund av bristande stöd. Risk för att oklar organisatorisk framtid leder till att sammanhållen miljö för språk och språkvetenskap försvinner. Risk för att oklar organisatorisk framtid leder till ohälsa och kompetensflykt. Risk för att oklar framtid för verksamhet kring breddad rekrytering och breddat deltagande leder till försämrad verksamhet inom området. Lokalfrågor/innehåll o kostnader. Receptarieprogrammets avveckling. Internrevisionen har studerat verksamheternas bedömda och angivna risker och gör en egen prövning av riskbilden för universitetet 2018, se nedan. Liksom vid föregående års riskanalys finns det inledningsvis, från internrevisionens sida, anledning att påminna om att det är tydligt att kartan ritats om i och med att lärosätet fått universitetsstatus. Kraven från Regeringen och granskande liksom medelsbeviljande myndigheter och andra externa finansiärer ökar härigenom framöver enligt internrevisionens bedömning. Utöver det föregående konstaterandet tillkommer den generella inramande verkligheten som anges i Regeringens en forskningspolitisk proposition, presenterad 2016-11-28, med aviseringar om generella ytterligare satsningar på forskning. Propositionen innehåller en hel del skrivningar om de samhällspolitiska utmaningarna och vikten av samverkan med omvärlden. Riksdagen behandlade propositionen och fattade beslut i enlighet med propositionen under 2017. 2017 var ett förberedelseår inför universitetsstatusen där det arbetats både kort- och långsiktigt med att växla upp verksamheten så att myndigheten nu står redo att de facto drifta universitetet 2018. Det har varit ont om tid vilket innebär en risk i sig.
5 (av 12) Internrevisionen menar att det finns fler risker än de som listas i ovan nämnda och refererade dokument. Malmö universitet kommer, vilket internrevisionen även påtalade för ett år sedan med anledning av den då gällande riskbilden, att verka i en än hårdare konkurrensutsatt miljö. Genom universitetsstatusen finns det externa aktörer som hävdar att tillgängliga medel för forskning nu späds ut på ytterligare en part. Det är alltid viktigt att både klara av att nå uppsatta mål vad gäller verksamhet, men även att klara av att klanderfritt i hela organisationen följa de formella regler som finns. Det finns många sådana regelverk som högskolan måste leva upp till. Internrevisionen menar att det nu riktas fler kritiska blickar mot den verksamhet som nu byggs upp. Det är inte lämpligt att i någon del riskera försumma regelefterlevnad eller arbete med måluppfyllelse. Något som är mycket skadligt och drabbar organisationer hårt är när myndighetens förtroende skadas. Tydliga och färska exempel finns att hämta i Karolinska institutet och Riksrevisionen. Internrevisionen har definierat fem väsentliga riskområden där det finns risker som i detta sammanhang lyfts fram. Det gäller styrning och kontroll, regelefterlevnad, byggande av nya strukturer, personaloch lokalförsörjning. Utifrån dessa kan sedan förslag på granskningar lämnas av internrevisionen och styrelsen kan fatta beslut. Styrning och kontroll Styrning och kontroll innefattar många delar av en organisation. I detta sammanhang avses i första hand den ekonomistyrning som finns och tillämpas. Det gäller formulering av mål, prioriteringar, riskanalyser, uppföljningar, övervakningsprocesser m.m. Malmö universitet saknar en myndighetsövergripande verksamhetsplan, till skillnad från exempelvis Lunds universitet. Detta kan riskera försvåra den styrning och kontroll som utövas internt. Det kan vara svårt att följa verksamhetens olika delar och att foga ihop dem till en gemensam bild. Detta har framkommit under internrevisionens arbete med granskningar och riskanalyser. Det finns en risk att den successiva uppväxlingen av ekonomi, personal och verksamhet kommer i otakt. Ett ambitiöst upplagt arbete med att implementera ett nytt ramverk för kvalitetsarbetet i utbildning på grundnivå och avancerad nivå pågår. Det ligger lämpligt i tiden och är strategiskt viktigt. Arbetet syftar till att på olika sätt säkra en hög kvalitet i utbildning och
6 (av 12) forskning och är en överlevnadsfråga för universitetet på längre sikt. Det är en utmaning att styra denna typ av processer så att de leder till verkliga resultat. Risken är att arbetet inte ger önskat resultat. När det gäller styrning så innefattas även finansiering. Det innebär en risk att en verksamhet som tvingas leva på extern finansiering helt enkelt misslyckas med att generera sådan finansiering. Internrevisionen har parallellt med institutionerna sett risker och problem som dagens nationella system för extern finansiering innebär för ett lärosäte men också oro för dyra lokaler och behov av stöd i administrativa processer. Ett arbete pågår att utveckla och implementera en ny central styroch kontrollprocess vid universitet. Internrevisionen har i januari 2018 färdigställt en granskning av den centrala styr- och kontrollprocessen i enlighet med revisionsplanen för revisionsåret 2017. Regelefterlevnad Lagar, förordningar och andra regelverk måste följas. Att misslyckas på detta område kan få stora negativa konsekvenser som rubbar förtroendet för högskolan. Det kan gå fort; det blev tydligt år 2016 när Dagens Nyheters granskningar av Riksrevisionen ledde till att de tre riksrevisorerna avgick endast några veckor efter publiceringen. Vi lever i ett medielandskap som är snabbt och skoningslöst i positiv bemärkelse. Samtidigt finns hos många människor i samhället en slags misstänksamhet mot många institutioner. Det är mot denna bakgrund extra viktigt att säkra regelefterlevnaden. I den konkurrensutsatta högskolevärlden finns risker med olika typer av skandaler. Regeringen dimensionerar anslagsvolymerna och tar naturligtvis intryck av vad de ser, hör och läser i exempelvis olika media. Förtroende och kvalitet i kedjans alla länkar är i sammanhanget viktigt. Oegentligheter och bedrägerier utgör stora risker i verksamheten, men även slarv och dålig ordning och reda som kanske kan leda till att dokument kommer bort eller kommer till fel mottagare utgör väsentliga risker som kan leda till skada för enskilda och i förlängningen högskolan. Hanteringen av upphandling, representation, resor m.m. är riskutsatta verksamheter i detta sammanhang.
7 (av 12) Under de två senaste åren har frågor om IT-säkerhet och hantering av information kommit att belysas genom mediala exponeringar men även genom aviseringar om nya regelverk från Regeringens och EU:s sida. Vid det senaste nätverksmötet (september 2017) för de nordiska internrevisorer som arbetar på uppdrag av högskolor/universitet kom flera frågor kring detta i fokus. Det gällde både frågan om utrullningen av den nya decentraliserade hanteringen av betyg m.m. i Ladok-systemet där lärarna själva ska mata in uppgifterna samt även andra frågor om säkerhet/risker som hade att göra med lagring, drift och underhåll. Samtidigt kommer en ny reglering från EU; Dataskyddsförordningen (GDPR) som gäller som lag från och med 25 maj 2018. Ytterst handlar frågan om informationshantering om hur exempelvis de enskilda handläggarna eller forskarna förmår leva upp till de strikta regelverk som finns på området. Ett annat område under risker som hänger samman med regelefterlevnad utgörs av den egna personalen och de eventuella aktiviteter som bedrivs parallellt med arbetet vid Malmö universitet. Det finns såväl regler som omgärdar anställdas bisysslor som risker förknippade med vissa typer av bisysslor. Olika typer av skador kan följa av olagliga eller olämpliga bisysslor för såväl den enskilde som för arbetsgivaren, i detta fall Malmö universitet. Det kan komma att innebära förtroendeskada, ekonomisk skada med mer. Byggande av nya strukturer En myndighet som verkar i en konkurrensutsatt miljö måste hela tiden anpassa sin struktur och verksamhet på ett sätt som säkrar måluppfyllelsen. Detta gällde särskilt Malmö högskola 2017 då arbetet med att bygga forskningsmiljöer på områden där det kanske tidigare endast bedrevs en mindre sådan verksamhet. Det handlar om att skapa kritisk massa i forskningsmiljöerna och att etablera och säkra internationell samverkan, något som även gäller relationerna med om världen lokalt, regionalt och nationellt. Av särskild vikt är byggandet av forskarmiljöerna. Dessa och deras resultat kommer att skärskådas såväl internt som externt. Det finns en risk att arbetet med att bygga forskningsmiljöer av världsklass misslyckas i enskilda delar av universitetets verksamhet, exempelvis på grund av oerfarenhet. Internrevisionen genomförde en granskning av byggandet av forskningsmiljöer 2017. Arbete med att justera arbetssätt pågår,
8 (av 12) enligt vad internrevisionen erfar, efter att internrevisionen lämnat förslag på åtgärder och högskolestyrelsen fattat beslut om åtgärder. Personalförsörjning Personalförsörjning av hög kvalitet är central i en kunskapsalstrande och spridande verksamhet som Malmö universitet. Det handlar om att rekrytera högkvalitativ personal och att sedan se till att de trivs och ges förutsättningar att bedriva sin verksamhet. Det finns risk för att lärare och forskare inte uppfattar anställningen som tillräckligt trygg i de fall tillfälliga anställningar tillämpas. Detta i kombination med svårigheter att erbjuda höga löner utgör en risk för personalomsättning, något som kan äventyra kvaliteten i verksamheten. Internrevisionen genomförde en granskning av personalförsörjningsprocessen 2017. Arbete med att justera arbetssätt pågår, enligt vad internrevisionen erfar, efter att internrevisionen lämnat förslag på åtgärder och högskolestyrelsen fattat beslut om åtgärder. Lokalförsörjning Malmö högskola står inför stora utmaningar när det gäller byggande av nya strukturer vad gäller forskarlag m.m. enligt ovan. Dessa lag ska ges förutsättningar att blomma ut med full kreativ kraft. En av flera förutsättningar för att detta ska lyckas är att de försörjs med ändamålsenliga och attraktiva lokaler för arbete i form av forskning, undervisning, administration och service. Det har funnits indikationer på bristande lyhördhet gällande verksamheternas önskemål vad gäller lokalernas utformning med mer. Detta framkom bland annat i internrevisionens under 2016 redovisade rapport om planeringsprocessen för byggandet av de nya kontoren i kvarteret Niagara samt även i den under 2017 presenterade granskningen av modellen för fastighetsförvaltning vid högskolan. Detta är en väsentlig risk för högskolan. Det finns en del synpunkter från institutionerna som gäller risker med befintliga lokaler och den allmänna hanteringen; det gäller arbetsmiljö, administration, kostnader m.m. I olika sammanhang anges det att det råder brist på lokalytor. Samtidigt är lokalförsörjningsplanen, enligt internrevisionens mening, inte uttömmande i frågan och ger inga tydliga besked i frågan om hur lokalförsörjningen ska gå till.
9 (av 12) 5. Granskningar 2018 Under verksamhets- och revisionsåret 2018 finns det skäl att granska följande tre områden; skydd mot oegentligheter, hantering av forskningsdata och bisysslohanteringen vid universitetet. 5.1 Skydd mot oegentligheter Alla statliga myndigheter förutsätts skydda verksamheten mot olika typer av oegentligheter; proaktivitet förutsätts. Såväl revisionen som Regeringen förutsätter att myndigheterna intresserar sig för vilka möjligheter som finns för att skydda verksamheten från påtryckningar, intrång, mutor, bestickning m.m. samt att också genom handling visa att man vidtar åtgärder för att förhindra förekomst av oegentligheter. Malmö universitet har sedan sommaren 2016 uppdaterade riktlinjer mot korruption och oetiskt handlande samt en inrättad funktion som tar hand om visselblåsares signaler och information. Sedan 2005, då Riksrevisionen skapade en norm för detta organisatoriska skydd, är det möjligt att genomföra en granskning vars resultat enkelt kan ställas mot den statliga normen för att också ge revisionen möjligheter att lämna konkreta förslag på åtgärder vid eventuellt behov. 5.2 Informationshantering - forskningsdokumentation En av de viktigaste delarna av informationshanteringen inom ett universitet gäller forskningsdokumentation. Ansökningar, forskningsdata, projektrapporter och andra handlingar eller information som skapas under forskningsprocessen och inte uppenbart är arbetsmaterial är allmänna handlingar. Samma regler gäller för information som skapas genom forskning som för annan information som genereras genom myndigheters verksamhet. Detta ställer krav på forskarna hur de ska hantera sina data och forskningshandlingar. Information skall förvaras säkert, skyddad från obehörig åtkomst och det finns en skyldighet att hantera personuppgifter och sekretesskyddat material på ett korrekt sätt. På universitetets hemsida finns information och för bland annat forskare. Utöver detta håller det på att tas fram en handbok med än mer specifikt stöd i frågan för forskarna. Mot bakgrund av de risker som finns att anställda forskare inte uppfattat gällande regelverk och de förväntningar som finns från universitetets sida vad gäller tillämpning/regelefterlevnad finns det skäl att rikta en granskning mot hur väl de skapade strukturerna för främjande av regelefterlevnad fungerar på området. 5.3 Bisysslohantering Anställda vid statliga myndigheter har rätt att ägna sig åt verksamhet vid sidan av sin anställning. Som huvudregel gäller att statligt anställda fritt förfogar över sin fritid, och att den enskilde själv avgör hur han eller hon vill använda denna. Det finns emellertid begränsningar
10 (av 12) föreskrivna för tre slag av bisysslor nämligen förtroendeskadliga bisysslor, arbetshindrande bisysslor och konkurrensbisysslor. Malmö högskolas bestämmelser och föreskrifter angående bisysslor grundar sig på lagen (1994:260) om offentlig anställning, förvaltningslagen (1986:223), högskolelagen (1992:1434), högskoleförordningen (1998:1003) samt Allmänt löne- och förmånsavtal (ALFA). Allmänna råd om bisysslor återfinns i Arbetsgivarverkets cirkulär 2002:A8. Malmö universitet har, som nämnts ovan, förtydligande regelverk och rutiner för att hantera dessa frågor och förhållanden i praktiken. Mot bakgrund av de risker som finns att regelverk inte uppfattas korrekt i alla delar av den decentraliserade organisationen med följder i form av oönskade parallella verksamheter eller samarbeten finns det skäl att rikta en granskning mot hur det givna regelverket och rutinerna är effektiva när det gäller regelefterlevnad i praktiken. 5.4 Ospecificerad granskning IR-chefstid har reserverats för granskningsinsatser/utredningar på framställan av styrelsen/rektor. Rubricerat granskningsarbete sker löpande under revisionsåret med en bedömd tidsåtgång av ca 100 timmar. 5.5 Rådgivning I internrevisionens uppgifter ingår att ge råd och stöd till styrelse, ledning och verksamhet i olika frågor som berör den interna styrningen och kontrollen. Exempel på rådgivningsinsatser för verksamheten kan vara deltagande i referensgrupper vid utvecklingsarbete samt informationsinsatser. Internrevisionen ser detta som en viktig förebyggande uppgift. Redovisad tid avser IR-chefstid. Rådgivningen sker löpande med en bedömd tidsåtgång av ca 85 timmar. 5.6 Riskanalys och planering inför 2019 Arbetet med att upprätta riskanalys och planera kommande års arbete utförs delvis löpande under året och delvis genom en mer systematisk genomgång med bland annat intervjuer i oktober/november. Riskanalysen bildar underlag till 2019 års revisionsplan som styrelsen tar ställning till i två steg, först som en informationspunkt vid styrelsemötet i december 2018 och sedan som en beslutspunkt vid styrelsemötet i februari 2019. Beräknad tidsåtgång för IR-chefen ca 175 timmar. 5.7 Uppföljning av tidigare års granskningar Utifrån de beslut som styrelsen fattat med anledning av internrevisionens tidigare revisionsrapporter ges en återrapportering av vilka åtgärder som har vidtagits i verksamheten. Dessa iakttagelser
11 (av 12) presenteras i internrevisionens verksamhetsrapport för 2016. Beräknad tidsåtgång för IR-chefen ca 100 tim. 5.8 Kompetensutveckling Internrevisionens arbetsområde omfattar all den verksamhet som universitet bedriver eller ansvarar för. Kompetensutvecklingen innefattar deltagande i nätverksarbeten inom den statliga revisionsvärlden, deltagande i kurser på revisionsområdet liksom andra aktiviteter som syftar till att stärka revisionens tekniska förmåga att genomföra effektiva granskningar. Med det senare avses i första hand IT-relaterade utbildningsinsatser. Planerad tidsåtgång ca 100 timmar. 5.9 Nätverkssamarbete Samarbete inom ramen för olika nätverk har kommit att bli en allt viktigare del av internrevisioners arbete, inte minst för de revisionsfunktioner som bemannas med enbart en revisor inklusive internrevisionschef. Samverkan sker på olika sätt inom ramen för främst två statliga nätverk där Ekonomistyrningsverket ofta står värd för mötena. Samverkan planeras under 2018 byggas upp med internrevisionsfunktionerna vid Örebro universitet och Linnéuniversitetet. Planerad tidsåtgång ca 150 timmar.
12 (av 12) 5.10 Tidplan och budget Aktivitet Tidsåtgång, timmar Planerad tid för styrelsebeslut Bisysslohantering 350 20/9 2018 Hantering av 350 7/11 2018 forskningsdata Skydd mot oegentligheter 350 14/12 2018 Ospecificerad granskning 100 Löpande under året Rådgivning 85 Löpande under året Riskanalys inför 2019 75 Oktober/november Planering inför 2019 25 Oktober/november Revisionsplanearbete 75 Löpande under året Uppföljning av 100 Januari granskningar Kompetensutveckling 100 Löpande under året Nätverkssamarbete 150 Löpande under året Totalt 1760 Staffan Ivarsson Internrevisionschef