Internrevisionens årsrapport 2017

Dnr. 1-74/2018 Internrevisionens årsrapport 2017 Konsistoriet, 2018-02-19

Diarienummer: 1-74/2018 Dnr för föregående version: Beslutsdatum: 2018-02-19 Giltighetstid: Beslut: Konsistoriet Handläggs av avdelning/enhet: Internrevisionen Dokumenttyp: Beredning med: Revisionsutskottet Revidering med avseende på:

Internrevisionens årsrapport 2017 Dnr 1-74/2018 INNEHÅLL 1 Revisionsplanens genomförande... 4 2 Revisionsprojekt genomförda under året... 5 2.2 Institutionsgranskningar... 5 2.3 Granskning av etableringen av nytt forskningscenter Ming Wai Lau i Hong Kong.... 6 2.4 Granskning av KI:s arbete med informationssäkerhet... 6 2.5 Granskning av förutsättningar för klinisk forskning i vården (ALFavtalet)... 6 2.6 Uppdragsrevisioner... 6 2.6.1 Uppföljning av bisysslor kopplade till Medical Management Innovations AB... 6 2.7 Råd och stöd... 7 3 Övrigt... 7 3.1 Kompetensutveckling och utbildning... 7 3.2 Utvecklingsplan... 7 4 Uppföljning av tidigare granskningar... 8 4.1 Implementeringen av åtgärdsplan efter granskningar av Macchiariniärendet... 8 5 Analys och bedömning... 8 Bilaga 1 Bemanning... 1 Bilaga 2 Produktionsöversikt 2011-2017... 2 Utgivare: Karolinska Institutet Internrevision

Internrevisionen Dnr: 1-74/2018 2017-01-26 1 Revisionsplanens genomförande Efter tidigare beslut i konsistoret förstärktes internrevisionen med ytterligare två medarbetare 2017 och består nu av en internrevisionschef och tre internrevisorer. Efter sommaren slutade dock en medarbetare och en ny medarbetare rekryterades under hösten och började i november. En annan medarbetare blev samtidigt föräldraledig och ersattes med en vikarie på deltid. Den främsta orsaken till att inte alla planerade granskningar hann genomföras under 2017 var mängden oplanerade uppdragsgranskningar, men även faktorer som beslut om delrapport för projektet Biomedicum, fördröjda institutionsgranskningar och internrevisionens bemanningssituation. Med tanke på rådande omfattning av uppdragsgranskning och rådgivande verksamhet så bör det övervägas om internrevisionens bemanning är tillräcklig. I januari 2017 inrättade konsistoriet ett revisionsutskott för beredning av ärenden om intern styrning och kontroll, extern- och internrevision, risker, ekonomistyrning och finansiell rapportering 1. För internrevisionen har detta inneburit en mer frekvent och djupgående kontakt med delar av konsistoriet, vilket har underlättat vårt arbete. Under året hade revisionsutskottet fem sammanträden, där protokollen ingår i underlag till nästföljande sammanträde i konsistoriet. Enligt revisionsplan för 2017 så planerade internrevisionen: Granskning av genomförandeprojektet Biomedicum. Granskning av institutionernas interna styrning och kontroll bl.a. riskhantering, regelefterlevnad och användning av myndighetskapital. Att följa och vid behov bistå med råd & stöd kring etableringen av nytt forskningscenter Ming Wai Lau i Hong Kong. Att tillsammans med Landstingsrevisorerna granska förutsättningar för klinisk forskning i vården (ALF-avtalet). Granskning av den interna styrningen och kontrollen med beaktande av riktlinjerna för informationssäkerhet (LIS) Följa implementeringen av åtgärdsplan efter granskningar av Macchiariniärendet. De olika revisionsprojekt som genomförts har syftat till att självständigt granska om den interna styrningen och kontrollen är rimligt säkert utformad och genomförd. 1 Beslut revisionsutskott, dnr 1-103/2017 Postadress Besöksadress Telefon E-Post Karolinska Institutet 171 77 STOCKHOLM Nobels väg 5 Solna 08-524 800 00, vx 08-524 865 01 peter.ambroson@ki.se Webb ki.se

5 (12) Utifrån detta ska internrevisionen rapportera iakttagelser och ge rekommendationer i syfte att förbättra den granskade verksamheten. Förutom granskningar ska internrevisionen ge råd och stöd till rektor och konsistoriet. Detta sker främst genom regelbundna möten med rektor och universitetsdirektör. Förutom skriftliga och muntliga rapporter samt promemorior bistår internrevisionen verksamheterna med råd och stöd i styrnings- och kontrollfrågor. Internrevisionen genomför årligen en egen självständig riskanalys, där ledningens riskbedömning beaktas. Denna riskanalys ligger sedan till grund för revisionsplanen. 2 Revisionsprojekt genomförda under året 2.1 Granskning av projektet Biomedicum. Internrevisionen planerade att under 2017 granska projektet Biomedicum med fokus på ändamålsenlighet i genomförandet utifrån ordning och reda samt sannolikhet för måluppfyllelse i enlighet med satta visioner. Med anledning av att granskningen inledningsvis visade på en risk att förutsättningar inte var tillräckliga för att främja måluppfyllelse, beslutades i samråd med ledningen att en kortare delrapport skulle rapporteras till konsistoriet. I delrapporten 2 presenterades ett urval av iakttagelser och rekommendationer kopplat till målbild, uppdrag och ansvar samt ekonomisk transparens. Konsistoriet beslutade med anledning av detta den 7 juni att KI:s ledning skulle återkomma med en åtgärdsplan med anledning av internrevisionens iakttagelser och rekommendationer. Konsistoriet ansåg det angeläget att ledningen snarast skulle ta ett helhetsgrepp kring projektet Biomedicum i enlighet med internrevisionens rekommendationer. Internrevisionen noterar nu i den fortsatta granskningen att en del har hänt, exempelvis en överenskommelse om de outnyttjade lokalytorna, men bedömningen är att det inte är tillräckligt med tanke på att flytten nu är nära förestående. Granskningen kommer att avslutas med en slutrapport där även institutionsövergripande iakttagelser och rekommendationer kommer att ingå. 2.2 Institutionsgranskningar Under 2017 har internrevisionen som en del i granskningen av Biomedicum även granskat de institutioner som kommer att ingå där. Innan sommaren genomfördes granskningen av Institutionen för fysiologi och farmakologi (FyFa) och rapporterades till institutionens ledning inför byte av prefekt. Efter sommaren sammanställdes även granskningen av Institutionen för neurovetenskap (Neuro), men med anledning av att granskningen måste slutföras av nya revisorer så beslutades att rapportering sker i samband med återstående institutionsgranskningar. Detta för att kunna göra rättvisande bedömningar mellan institutionerna. Under hösten har därefter granskning genomförts av de tre återstående institutionerna; Institutionen för mikrobiologi, tumör- och cellbiologi (MTC), Institutionen för cell- och molekylärbiologi (CMB) och Institutionen för medicinsk biokemi och biofysik (MBB). Granskningarna genomfördes till stor del parallellt eftersom arbetet försköts i tid när institutionerna av olika orsaker som exempelvis underbemanning, chefsbyte och bokslut inte kunde vara fullt ut behjälpliga vid våra granskningar. Trots att granskningar ännu inte är helt klara så kan internrevisionen ändå se institutionsövergripande brister inom områden som exempelvis ekonomisk styrning 2 Granskning av projektet Biomedicum delrapport 2017-06-07, dnr. 1-589/2017

6 (12) och redovisning, bisysslor, fakturahantering, upphandling samt arkiv och registratur. Granskningarna kommer att rapporteras till institutionsledningar, KI:s ledning och revisionsutskottet under våren 2018. 2.3 Granskning av etableringen av nytt forskningscenter Ming Wai Lau i Hong Kong. Efter samråd med revisionsutskottet och KI:s ledning så beslutades att granskningen av nytt forskningscenter Ming Wai Lau i Hong Kong flyttas till våren 2018. 2.4 Granskning av KI:s arbete med informationssäkerhet Internrevisionen har upprepade gånger konstaterat att KI:s arbete med informationssäkerhet inte har kommit tillräckligt långt för att det ska finnas något att granska. Efter ytterligare en avstämning med KI:s ledning gjordes bedömningen att det fortfarande inte finns tillräckligt på plats för motivera en granskning av informationssäkerhet. Internrevisionens har istället valt att ta med informationssäkerhet på en övergripande nivå som en del i institutionsgranskningarna och kommer att avrapporteras inom ramen för dessa. Under 2018 kommer informations- och IT-säkerhet att ingå i arbetet med KI:s nya IT-strategi, dessutom kommer en ny europeisk dataskyddsförordning GDPR att träda i kraft i maj. Under 2017 inträffade dessutom uppmärksammade incidenter kopplat till informationssäkerhet på Transportstyrelsen, vilket bland annat lett till att Riksrevisionen tagit med informationssäkerhet som en del i sin löpande granskning av myndigheterna. Allt detta sammantaget bör innebära bättre förutsättningarna för arbetet med informationssäkerhet på KI under 2018. 2.5 Granskning av förutsättningar för klinisk forskning i vården (ALF-avtalet) Landstingsrevisorerna och KI:s internrevision genomför gemensamt en granskning av huruvida organisationerna tillsammans skapar förutsättningar som främjar klinisk forskning. Granskningen inleddes under 2017 med en förstudie för att bestämma lämplig avgränsning. Den medarbetare på internrevisionen som var projektledare för KI:s del av granskningen slutade dock i augusti, men det överenskoms i samband med detta att hon skulle slutföra denna granskning som anknuten och arvoderad per timme. Därefter beslutades att konsultstöd skulle upphandlas och kostnader för detta skulle delas lika mellan Landstingsrevisorerna och internrevisionen. Granskningen inleddes under hösten och kommer att slutföras under våren 2018. 2.6 Uppdragsrevisioner 2.6.1 Uppföljning av bisysslor kopplade till Medical Management Innovations AB 3 Uppdragsgranskningen som genomfördes under 2016 avseende Uppföljning av bisysslor kopplade till Medical Management Innovations AB fortsatte även under 2017. Ärendet överlämnades till Statens ansvarsnämnd som i sin tur lämnade anmälan om trolöshet mot huvudman till åklagare. I samband med förundersökning så intervjuades bland annat internrevisionschefen. Utredningen lades sedan ner eftersom det inte gick att visa att åtgärdena inneburit att huvudmannen (målsäganden) skadats, eller att det funnits risk för sådan skada. Någon trolöshet mot 3 dnr: 1-62/2017

7 (12) huvudman gick därför inte att bevisa, och ytterligare åtgärder kunde inte antas ge mer klarhet i detta. 4 2.6.2 Fråga från SLL Den 8 mars 2017 blev KI:s vikarierande prorektor underrättad av Hälso- och sjukvårdsdirektören vid Stockholms läns landsting (SLL) om att det fanns misstankar inom 4D-grupperingar om att en anställd vid KI på ett felaktigt sätt avyttrat en komponent i applikationen Min digitala vårdplan. Där investeringar gjorts av SLL i samband med projektet och att medarbetaren själv gör en otillbörlig förtjänst på arbetet. KI:s ledning bedömde att dessa uppgifter måste utredas och efter samråd med revisionsutskottet överlämnade 16 mars därför ärendet till internrevisionen. Efter muntlig delrapportering den 12 april beslutades att ärendet krävde ytterligare utredning. Den 16 maj överlämnades slutligen utredningen till KI:s ledning för fortsatt hantering. Senare genomförde SLL en motsvarande granskning av motsvarande delar och kom fram till snarlika bedömningar. 2.7 Råd och stöd Internrevisionen har under året arbetat löpande med råd och stöd i olika utredningar. Det främjande arbetet efter granskningar kopplade till Macchiarini-ärendet fortsatte med presentationer vid AC-seminarium och institutionsmöten. Internrevisionens fokus har då varit att främja ett lärande i organisationen samtidigt som efterlevande av gällande regelverk stärks. 3 Övrigt 3.1 Kompetensutveckling och utbildning I september deltog internrevisionen vid konferens i Luleå för nätverket för internrevisorer vid universitet och högskolor i norden (NIRUH). Internrevisionen deltog därefter i november vid en konferens på Stockholms universitet, inom ramen för det mindre nätverket för internrevisorer vid universitet och högskolor i Mälardalen/Örebro. Internrevisionen har inbjudits att föreläsa på chefsutbildningen vid KI, Formellt ledarskap, vid två tillfällen under 2017, samt till presentationer vid institutioner, AC-seminarer och workshops på EA-internat. Två internrevisorer har under 2017 genomgått Grundkurs för internrevisorer, vilken anordnas av Internrevisorernas förening. 3.2 Utvecklingsplan I förberedelserna för en nystart av enheten så identifierades viktiga områden som ska ingå i den utvecklingsplan som ska genomföras under 2018. Exempel på områden som kommer att ingå i planen är internrevisionens riktlinjer, institutionsgranskningar, dokumentation och rapportering. 4 Åklagarmyndigheten, ext ärendenr : 5 000 -K427 40 I -17

8 (12) 4 Uppföljning av tidigare granskningar 4.1 Implementeringen av åtgärdsplan efter granskningar av Macchiarini-ärendet Enligt revisionsplan skulle internrevisionen följa implementeringen av åtgärdsplan efter granskningar av Macchiarini-ärendet. Den 30 juni rapporterades uppföljning av Åtgärdsplan vid Karolinska Institutet utifrån rekommendationer vid extern och intern granskning, september 2016 5 till konsistoriet. Internrevisionen noterar att flera av de frågor som har aktualiserats i åtgärdsplanen inte är avslutade. Åtgärder som svarar mot åtgärdsplanen återfinns dock i riskhanteringsarbetet, exempelvis handlingsplan för att reducera risken för bristande lag- och regelefterlevnad. Förutom detta så pågår även arbete inom ramen för det ordinarie linjearbetet, framförallt på juridiska och kommunikationsavdelningen, med att strukturera och tillgängliggöra regelverket. Det finns även rektorsbeslut på att tillföra särskilda projektmedel för att ytterligare utveckla användarvänligheten och underlätta orienteringen för användarna. Däremot finns inget beslut avseende arbetsgruppens slutliga rekommendation att det planeras för en samlad uppföljning av hur pågående och planerade åtgärder genomförts. 5 Analys och bedömning I riskanalys för 2017 ingick fyra nya prioriterade risker efter Macchiarinigranskningarna, bland annat rörande lag- och regelefterlevnad samt oredlighet i forskning. Internrevisionens bedömning från förra året kvarstår dock; att det genomgående finns tillgängliga och tillräckliga instruktioner och skrivna regelverk inom relevanta områden vid KI, men att tolkningen av dessa inte är okomplicerad. Regelverken förefaller ännu inte fullt ut vara tillräckligt implementerade och kända. Internrevisionens uppfattning är att denna typ av arbete borde utföras av verksamheten i en andra linjens funktion i enlighet med logiken om tre försvarslinjer 6. Där första linjen utgörs av de funktioner som äger risk och regelefterlevnad, andra linjen utgörs av funktioner för övervakning och kontroll, tredje linjen utgörs av funktioner för oberoende granskning. En stärkt andra linje kan öka KI:s möjligheter att lära av erfarenheter och främja ständiga förbättringar, särskilt om system för samordning och överföring mellan första och andra linjen skapas. Genomförda uppdrags- och institutionsgranskningar visar på institutionsövergripande brister inom områden som exempelvis ekonomisk styrning och redovisning, bisysslor, fakturahantering, upphandling samt arkiv och registratur, vilket enligt internrevisionens bedömning beror på begränsade resurser och kompetens hos institutionerna tillsammans med svag central styrning. Med anledning av kommande flyttar och omorganisering så vill internrevisionen därför rekommendera KI:s ledning att, förutom tydligare besluts- och delegationsordning, även införa en tydlig och väl förankrad styrmodell. Ledningen bör även beakta möjligheterna att samla vissa administrativa funktioner i syfte att uppnå bättre samordning och regelefterlevnad med ett effektivare stöd till kärnverksamheten. Det är dock av största vikt att nytta och kostnader kring detta presenteras på ett 5 Dnr. 1-358/2017 6 Modellen skiljer mellan funktioner som äger risk och regelefterlevnad (första linjen), funktioner för övervakning och kontroll (andra linjen) och funktioner för oberoende granskning (tredje linjen).

9 (12) pedagogiskt och konstruktivt sätt, för att undvika att fastna i diskussioner om intern kostnadsfördelning som exempelvis overhead och hyror. Trots att stora delar av KI:s övriga verksamhet fortsätter att gå bra, så blir internrevisionens sammanfattande bedömningen avseende myndighetens interna styrning och kontroll därför ändå snarlik förra årets; Mot bakgrund av genomförda granskningar under 2017 anser internrevisionen att KI ännu inte har etablerat ett system för styrning, uppföljning och kontroll som i tillräcklig grad svarar upp mot organisationens långtgående delegering.

1 (12) Bilaga 1 Bemanning Antal Utfall (tim) Revisionschef 1 1978 Internrevisor 2 (3) 3230 Totalt Normalarbetstid 3 (4) 4 5208 7912 Konsulter 90 Anknuten 71 Totalt 161 Kostnaderna har uppgått till 3,3 mkr (2,5 mkr), varav konsultkostnader på 97,5 tkr (192 tkr) inklusive beställda revisioner.

Bilaga 2 Produktionsöversikt 2011-2017 Ärenden 2017 2016 2015 2014 2013 2012 Granskningsområden Biomedicum Macchiarini-ärendet Realisering av Strategi 2018 Verksamhetsstyrning med ny strategi Verksamhetsstyrning i växande verksamhet Informationssäkerhet Anmälan från SLL CLINTEC IT-säkerhet och informationssäkerhet IT-säkerhet och informationssäkerhet Informationssäkerhet Innovationsverksamhet och Ägarstyrning Institutionsgranskningar Bisysslor SciLifeLab Externa finansiella krav (EU, NIH, Sida m.fl.) EU-projekt EU-projekt Institutionsgranskningar 2 1 0 2 2 2 Uppdragsgranskning 1 3 1 1 3 4 Utbildningsuppdrag 3 3 2 4 3 4 Revisionsrapporter 3 1 3 5 6 PM 1 2 2 4 5 6

Karolinska Institutet - <Titel> 1 (1)