UFV 2015/612 Process för intern styrning och kontroll Fastställd av universitetsdirektören 2015-11-09
Innehållsförteckning Uppdraget 3 Genomförande 3 Resultat från intervjuer 3 Process för ISK 4 Riskanalyser enligt FISK 4 Fakulteter/institutioner 4 Universitetsförvaltningen 4 Universitetsledningen 4 Universitetsbiblioteket och andra enheter direkt under rektor 5 Dokumentation 5 Uppföljning 5 Integrering med ordinarie verksamhetsplanering 5 Reviderade riktlinjer 5 Stöd för och samordning av riskanalyser 5 ISK-team för det löpande arbetet 6 2
Uppdraget I slutrapporten för intern styrning och kontroll 2014 (UFV 2014/167) beslutade rektor att processen för intern styrning och kontroll ytterligare ska integreras i den ordinarie verksamhetsplaneringen, effektiviseras samt utvecklas mot ökad målgruppsanpassning vid riskanalyser. En utvecklad process för intern styrning och kontroll ska ligga till grund för ett förändrat arbetssätt inför 2016 års arbete med intern styrning och kontroll. Beslutet grundade sig bland annat på den omfattande granskning av universitetets arbete med intern styrning och kontroll vid Uppsala universitet (UFV 2014/684) som genomfördes av internrevisionen 2014. Granskningen visade på behov av en översyn och fortsatt utvecklingsarbete avseende process, metoder och riktlinjer. Innevarande rapport beskriver resultatet för utvecklingsarbetet av processen för intern styrning och kontroll vid Uppsala universitet. Det övergripande målet med uppdraget är att bidra till en effektiv och väl integrerad process för intern styrning och kontroll vid Uppsala universitet. Inom ramen för projektet ska följande uppnås: Utvecklad modell och process för arbetet med intern styrning och kontroll Förslag på reviderade riktlinjer för intern styrning och kontroll Framtaget stöd för utförandet (webbinformation m.m.) Förslag på förvaltningsorganisation för det löpande arbetet Arbetsgruppen har utgjorts av Anna Clemensson, Maria Lind och Patrik Wallin från planeringsavdelningen samt Thomas Davidsson, ekonomiavdelningen. Genomförande Arbetet påbörjades i maj 2015 och inleddes med att göra intervjuer med personer som varit delaktiga i arbetet med riskanalyser och återrapportering både på fakultetsnivå och på institutionsnivå. Förutom personer från områdeskanslierna intervjuades nio prefekter från olika fakulteter. Möten har hållits löpande med dels arbetsgruppen, dels med referensgruppen bestående av tre representanter från områdeskanslierna. Förslagen har diskuterats i trion samt i universitetsförvaltningens chefsgrupp. Därutöver har avstämning gjorts med internrevisionen och riksrevisionen. Resultat från intervjuer Intervjuerna visade på en relativt entydig bild av processen, och många synpunkter och förslag på förbättringar gavs. Som exempel kan nämnas att kommunikationen till fakulteter och områdeskanslier behöver förbättras. Det gäller kring både processen, återrapporteringen och återkoppling av resultat. Även den centrala informationen i MP behöver förtydligas. ISK blandas ihop med övriga riskområden som har egna krav på återrapportering (arbetsmiljö, egendomsskydd, informationssäkerhet). 3
Kopplingen mellan risker på olika organisatoriska nivåer upplevs som otydlig, exempelvis mellan institutionsnivå och universitetsledning. Det är också oklart vilken detaljnivå man ska göra sin riskanalys på. Mot bakgrund av intervjuer och annan information har arbetsgruppen tagit fram ett förslag på en reviderad process för genomförande av den förordningsstyrda delen av ISK. Process för ISK Riskanalyser enligt FISK Riskanalyser görs löpande enligt en fastställd plan. Med riskanalyser avses riskidentifiering, värdering och prioritering. Befintliga risker kan tas bort eller omvärderas och nya risker kan tillkomma. I samband med riskanalyserna diskuteras även behov av eventuella åtgärder. I en årlig cykel påbörjas riskanalyser vid fakulteter/institutioner, fortsätter med stödverksamhet vid universitetsförvaltningen samt universitetsbiblioteket och summeras slutligen vid en riskanalys i universitetsledningen enligt följande: Fakulteter/institutioner Riskarbetet periodiseras så att varje vetenskapsområde gör en riskanalys vart tredje år. De följande två åren genomförs åtgärder och slutligen görs uppföljning inför kommande riskanalys. Riskanalysen genomförs under våren, exempelvis vid ett särskilt prefektmöte eller annan gruppering som vetenskapsområdet bedömer vara lämplig och kan representera området. Identifierade risker kan antingen tas omhand på fakultetsnivån för uppföljning och åtgärd, eller föras vidare till universitetsledning eller förvaltningsledning. Riskanalysen görs mot vetenskapsområdets mål och strategier. Även de centrumbildningar som tillhör området ingår i riskanalysen. Dokumentation görs vid riskseminariet och återkoppling sker i direkt anslutning till seminariet. Universitetsförvaltningen Riskanalys görs i universitetsförvaltningens chefsgrupp samt med företrädare från universitetsbiblioteket i början av hösten, återkommande varje år. Förutom egna risker hanteras eventuella risker från vårens riskanalys inom aktuellt vetenskapsområde. Riskanalysen görs mot universitetsförvaltningens uppdrag. Åtgärder och uppföljning av dessa görs inom ramen för förvaltningens verksamhetsplanering. Identifierade risker kan även vid behov föras vidare till universitetsledningen. Universitetsledningen Riskanalys görs i den utökade universitetsledningen, årligen varje höst. Förutom egna identifierade universitetsövergripande risker hanteras eventuella risker från vårens riskanalys inom aktuellt vetenskapsområde. Riskanalysen görs mot universitetets mål och strategier. 4
Universitetsbiblioteket och andra enheter direkt under rektor Riskanalyser och uppföljning görs av universitetsbiblioteket och andra enheter direkt under rektor (UU Innovation, NCK, TSL) på motsvarande sätt som för vetenskapsområdena, dvs. periodiserat i en treårscykel. Dokumentation Inför riskanalyser på samtliga nivåer inhämtas underlag från deltagarna. Detta sammanställs och utgör diskussionsunderlag för den gemensamma riskanalysen. Dokumentationen efter en riskanalys ska innehålla identifierade risker, värdering och prioritering, samt förslag på eventuella åtgärder. Efter riskanalysen vid universitetsledningen görs en samlad dokumentation. I enlighet med nuvarande process görs en sammanfattning av riskanalyserna för året som redovisas för konsistoriet i december. En slutrapport med en övergripande beskrivning av processen och beskrivning av vilka risker som anses behöva särskild bevakning sammanställs som ett underlag för konsistoriets beslut i samband med årsredovisningen. Uppföljning Uppföljning av risker och åtgärder görs inför kommande riskanalys och utgör en central del av underlaget för en ny riskvärdering. Ansvaret för uppföljningen görs lämpligen av områdeskanslierna för fakulteter/institutioner och av ISK-teamet vid planeringsavdelningen (se nedan) för ledningsrådet. Integrering med ordinarie verksamhetsplanering I riskanalysarbetet föreslås i förekommande fall åtgärder som syftar till att minska risker. Beskrivningen av åtgärden ska även innefatta vem som är ansvarig samt när åtgärden ska vara genomförd. För att säkerställa att dessa genomförs och möjliggöra uppföljning föreslås att åtgärderna, när det så är lämpligt, läggs som uppdrag till ansvariga i verksamheten (fakulteter, institutioner, universitetsförvaltningen, universitetsbiblioteket) inom ramen för VP-processen. Uppdrag kan ges direkt eller i de anvisningar som går ut till fakulteter och universitetsförvaltningen i början av året, och där återrapportering görs under hösten samma år. Åtgärder kan även vara aktiviteter som görs inom ramen för det löpande arbetet och befintlig budget. Reviderade riktlinjer Riktlinjer för tillämpning av förordning om intern styrning och kontroll (UFV 2009/1086) bör revideras med anledning av organisationsförändringar. I övrigt har översynen inte visat på behov av revideringar. Stöd för och samordning av riskanalyser På medarbetarportalen MP har sedan ett antal år en webbplats, IRIS, för Integrerad RISKhantering funnits. Syftet med denna var att samla och samordna det riskarbete som ska göras inom arbetsmiljö, 5
egendomsskydd, informationssäkerhet samt intern styrning och kontroll. På grund av skilda externa krav på dokumentation och genomförande har samordningen inte gått att genomföra. Med den process för intern styrning och kontroll som nu föreslås finns inte samma behov av samordning med övriga riskområden. Däremot behöver ISK-processen knytas närmare verksamhetsplaneringen. Därför föreslås att den webbinformation som behövs för intern styrning och kontroll samlas med informationen kring verksamhetsplanering och uppföljning. Ett sådant arbete har redan påbörjats. ISK-team för det löpande arbetet För att skapa kontinuitet och kvalitet i det löpande arbetet föreslås att ett ISK-team utses. ISK-teamet består av personer från planeringsavdelningen. Gruppen ansvarar för att planera arbetet enligt en årlig plan, att stödja och genomföra riskanalyser samt tillse att nödvändig dokumentation tas fram inför rapportering till rektor och konsistoriet. Gruppen ska även kontinuerligt följa upp arbetet och fortsatt utveckla processen vid behov. 6