2008-06-11 BESLUT LiU-2008/00613 Tillämpning av förordningen om intern styrning och kontroll Universitetsstyrelsen beslutar godkänna principerna för det framlagda förslaget till tillämpning av förordningen om intern styrning och kontroll. Beslut i detta ärende har fattats av universitetsstyrelsen vid dess sammanträde denna dag. I beslutet har deltagit ordföranden Bengt Westerberg, universitetets rektor Mille Millnert och övriga ledamöterna, Sara Bergqvist, Trygve Carlsson, Kajsa Ellegård, Jan Ernerudh, Ewa Groppfeldt, Lars Hultman, Johan Midbjer, Olle Persson, Marina Sandgren, Agneta Westerdahl och Maria Ågren. Vidare har närvarit prorektor Inger Rosdahl, suppleanten Maria Bolin, personalföreträdarna Örjan Lönnevik och Marianne Plymoth, styrelsens sekreterare Ann-Christin Gustafsson, informationsdirektören Lars Holberg, universitetsdirektören Curt Karlsson samt administrativa direktören Peter Värbrand, den sistnämnde föredragande. Bengt Westerberg Peter Värbrand Universitetsstyrelsen
2008 05 21 PM Dnr LiU 2008/00613 1(2) FISK genomfört arbete inom LiU Förordningen (2007:603) om intern styrning och kontroll vid statliga myndigheter (FISK) innehåller anvisningar om hur styrelsen och ledningen ska analysera, åtgärda, följa upp och dokumentera de risker som verksamheten är utsatt för på vägen mot att uppnå önskat resultat och på så vis redovisa sitt arbete med att upprätthålla god intern styrning och kontroll. Universitetsledningen tillsatte via beslut Dnr LiU 2008/00613 en arbetsgrupp för att ta fram ett förslag till riskanalys för LiU på en övergripande nivå, ett förslag till årlig process för arbetet med FISK samt ett förslag till under vilka former och i vilka grupperingar arbetet bör bedrivas framgent. Arbetsgruppen har bestått av: Peter Värbrand, administrativ direktör, UF Unn Forsberg, controller, UF Ulf Nilsson, professor, IDA Margaretha Grahn, kanslichef, KfU Anneli Lindgren, prefekt, TEMA Jan Janzén, proprefekt, ITN Rolf Andersson, professor IMH Lene Rosell, administratör, UF Christer Eklöf, bitr. controller UF Arbetsgruppen har utgått från LiUs strategikarta, som är en beskrivning av det önskade resultatet för LiUs verksamhet. Definitionen av en risk är någon form av hinder för att LiU ska kunna uppnå sitt önskade resultat. En risk kan vara något LiU kan påverka via t.ex. intern organisation och olika förebyggande åtgärder, eller utgöra en yttre omständighet som LiU endast kan påverka marginellt, men i övrigt endast kan förbereda sig för. En risk som bedöms som hög, kan minskas via olika åtgärder, varvid den kvarvarande risken (risken efter genomförd åtgärd) bedöms som låg. Kostnaden för att minska en risk ska alltid vägas mot kostnaden som skulle uppstå om risken inträffades. En verksamhet helt utan risker innebär vanligen en förlamad, improduktiv verksamhet som inte producerar några resultat av nämnvärt värde. Universitetskansliet Unn Forsberg
FISK arbetet Dnr LiU 2008/00613 2(2) Risker bör bedömas med avseende på sannolikheten att risken inträffar och effekten om den verkligen inträffar. Ett vanligt sätt att värdera risker är att multiplicera sannolikheten med effekten om den inträffar, uttryckt i ett värde på en skala. Ett högt värde innebär en hög sannolikhet att risken inträffar och allvarlig effekt om den inträffar, medan ett lågt värde innebär låg sannolikhet och försumbar effekt. Risker med höga värden behöver vanligen åtgärdas medan risker med låga värden inte nödvändigtvis behöver åtgärdas. Riskhantering kan innebära någon av följande åtgärder: 1. Undvika risken, dvs. undvika de aktiviteter som ger upphov till risken. Görs normalt med risker som är otroligt allvarliga om de inträffar och som går att påverka. 2. Dela risken, dvs. försäkra sig. Görs normalt med risker av typen brand i datorhall, där försäkringen innebär att man relativt snabbt kan återgå till verksamheten. 3. Begränsa risken, dvs. minska sannolikheten av att risken inträffar, och/eller minska effekten om den ändå inträffar. Görs normalt med olika typer av förebyggande åtgärder av typen behörighetssystem till IT system och utbildning i rutiner. 4. Acceptera risken, dvs. inte vidta några åtgärder alls eftersom man bedömer att påverkan på verksamheten är minimal eller acceptabel om risken inträffar. Arbetsgruppen har gjort en riskanalys i form av en lista på risker som innebär hinder för LiU att nå sina mål och har delat in riskerna utifrån strategikartan och gjort en riskkarta. Alla risker har formulerats som en beskrivning av risken, sannolikheten att den inträffar och effekterna om den inträffar. Sannolikhet och effekt har sedan bedömts på en skala 1 4, där 1 är låg sannolikhet respektive låg effekt och 4 är hög sannolikhet respektive allvarlig effekt. Sannolikheten har sedan multiplicerats med effekten och riskerna har rangordnats i fallande ordning där högsta värde är 16 (sannolikhet 4 och effekt 4) och lägsta värde 1 (sannolikhet 1 och effekt 1). Arbetsgruppen har funnit sammanlagt 100 talet risker på olika nivåer varav endast ett fåtal är relevanta för den LiU övergripande nivå som styrelsen arbetar på, och 5 är av så pass allvarlig art att styrelsen bör ta aktiv ställning till dem. Övriga risker har lägre värden, och kan hanteras inom det normala riskhanteringsarbete som universitetsledningen utför. De risker som är relevanta för styrelsen finns förtecknade i bilaga 1. Arbetsgruppen har tagit fram ett förslag till årlig process för arbetet med intern styrning och kontroll. Förslaget finns i bilaga 2.
LiU:s riskkarta Visa Excellens Ta Ansvar Konkurrens/ranking Forskning/forskningsfinansiering Studenten hela vägen Din rubrik Samverkan m omgivande samhälle Arbetsmiljö, säkerhet, Lika villkor Bygg Styrka Studentrekrytering Kompetensförsörjning Finansiell styrka/hälsa Skapa Effektivitet underrubrik Intern organisation Politiska spelregler Infrastruktur & adm system Kärnvärde Strategiarbete
Visa Excellens - konkurrens/ranking Risk Leder till Sanno -likhet Effekt Total tyngd Åtgärd Risk att de kriterier som används vid fördelning av basresurser i ett framtida nationellt fördelningssystem missgynnar LiU. Risk för att vi tappar vår position som ett starkt grundutbildningsuniversitet genom ett nödvändigt fokus på att stärka LiU som ett forskningsuniversitet Minskade forskningsresurser som kan leda till en neråtgående spiral. 3 6 18 Minskad och svagare rekrytering 4 4 16 Fortlöpande följa LiU:s utveckling i de mätetal som är relevanta och låta dessa få effekt på vår resursallokering. Hitta metoder att synliggöra och belöna goda insatser i grundutbildningen Risk att vi inte examinerar studenter med lysande utsikter genom att kraven i examinationen är för låga. Skadat/förstört varumärke 3 6 18 Införa system för att säkerställa kravnivån i examinationen. 2008-06-16 Sid 2 Linköpings universitet
Bygg styrka - Studentrekrytering Risk Risk att missa möjligheten att öka marknadsandelen för att motverka det sjunkande antalet studenter i riket, särskilt i Norrköping Leder till Sannolikhet Effekt Total tyngd Lägre volym grundutbildning, lägre GU-anslag. 4 4 16 Åtgärd Synliggör LiUs attraktionskraft tydligare. Våga arbeta med selektiv marknadsföring. Identifiera målgrupper. Breddad och nischad rekrytering. 2008-06-16 Sid 3 Linköpings universitet
Skapa effektivitet Intern organisation Risk Risk för oklart ansvar och att olika nivåer inte känner till vad de andra gör. Leder till Sannolikhet Effekt Total tyngd Dubbel- eller trippelarbete 4 4 16 Åtgärd Tydligare arbetsfördelning och besluts- och delegationsordning. Bättre samordning. Kommunicera och jobba med ansvarsfördelningen. Uppföljning av gjorda delegationer. Rensa i antalet specialgrupper och i större utsträckning använda befintliga grupperingar. 2008-06-16 Sid 4 Linköpings universitet
2008 04 21 Bilaga 2 Dnr LiU 2008/00613 1(3) FISK arbetet Förordningen om intern styrning och kontroll (FISK) innehåller anvisningar om hur styrelsen och ledningen ska dokumentera sitt arbete med att upprätthålla god intern styrning och kontroll. Ekonomistyrningsverket (ESV) har gett ut en handledning med råd och exempel på hur arbetet kan bedrivas och vad dokumentationen bör innehålla. Följande text beskriver hur Linköpings universitet (LiU) föreslås implementera förordningen. Förutsättning för processen En arbetsgrupp för kvalitetsarbete och riskanalys bör skapas med ansvar för 1. att upprätta och uppdatera dokumentationen av hur processen för intern styrning och kontroll ser ut 2. att följa upp hur åtgärderna påverkar den kvarstående risken 3. att uppdatera riskanalyserna med tillkommande information från t.ex. NMI, NSI, institutionsdialoger, kvalitetsarbete, verksamhets och kompetensanalyser, statistik från HSV etc. 4. att genomföra/leda kartläggningar av tillkommande eller ännu inte kartlagda riskområden 5. att sammanställa och bedöma organisationens arbete med riskanalyser från olika nivåer Arbetsgruppen föreslås ha representation från fakulteter och institutioner samt ett par centralt placerade tjänstemän. Gruppen förväntas vara relativt stabil och medlemmar bör inte bytas ut årligen, eftersom riskhanteringsarbete vanligtvis tjänar på att bedrivas långsiktigt, med ökande kunskap i gruppen. Ledamöter bör ersättas på ett sådant sätt att kontinuiteten bevaras via t.ex. olika mandatperioder. Dokumentation LiU föreslås lägga upp sin dokumentation på följande sätt: Ledningens syn på risker dokumenteras i samband med den årliga strategigenomgången inför universitetsstyrelsens beslut om ev. ändringar i strategikartan. En förteckning över befintliga styrdokument, rutinbeskrivningar och policys på övergripande nivå görs under hösten 2008 för att sedan kontinuerligt hållas uppdaterad. En flerårsplan utifrån den övergripande riskhanteringen görs under våren 2008 samt uppdateras kontinuerligt i samband med den årliga strategigenomgången inför universitetsstyrelsens beslut i frågan. Universitetskansliet Unn Forsberg
FISK arbetet Dnr LiU 2008/00613 2(3) En beskrivning av de riskanalyser som genomförts, vilka riskområden som identifierats, hur riskerna föreslås hanteras, föreslagna kontrollåtgärder och hur uppföljning av dessa ska ske samt hur arbetet bedrivits, upprättas och lämnas till styrelsen årligen i samband med universitetsstyrelsens bedömning av den interna styrningen och kontrollen. Årlig process för arbetet Fortlöpande arbete med riskanalyser och åtgärdsarbete genomförs på olika nivåer inom universitetet under hela året. November Universitetsstyrelsen fattar varje år i november beslut om budget för universitetet. I samband med detta beslut, presenterar universitetsledningen 1. resultatet av de riskanalyser som genomförts under året 2. hur vidtagna åtgärder för riskhantering påverkat den kvarstående risken 3. förslag på vilka åtgärder som bör initieras under nästkommande år 4. övrig information som bedöms vara av betydelse för styrelsens möjlighet att bedöma universitetets interna styrning och kontroll Universitetsstyrelsen fattar beslut om vilka åtgärder som ska vidtas och hur riskerna ska hanteras. Universitetsledningen delegerar sedan arbetet med att genomföra åtgärderna till ansvariga chefer inom verksamheten, som implementerar åtgärderna löpande under den tidsram som är beslutad, med avrapportering till arbetsgruppen för kvalitetsarbete och riskanalys. Februari Arbetsgruppen för kvalitetsarbete och riskanalys överlämnar sin sammanställning av organisationens arbete till universitetsledningen som underlag för deras bedömning av universitets interna styrning och kontroll samt eventuellt behov av kompletterande information till universitetsstyrelsen. Universitetsledningen tar fram sin presentation till universitetsstyrelsen och förslag till formulering av universitetsstyrelsens bedömning av den interna styrningen och kontrollen. Universitetsstyrelsen behandlar frågan och ger sin bedömning av den interna styrningen och kontrollen. Mars augusti Arbetsgruppen för riskanalys samlar in och sammanställer löpande information om det pågående arbetet, samt gör beslutade insatser för att kartlägga nya eller tidigare icke kartlagda riskområden enligt universitetsstyrelsens beslut.
FISK arbetet Dnr LiU 2008/00613 3(3) Augusti september I samband med den årliga uppdateringen av strategiarbetet och kvalitetssäkringsarbetet, tas även en uppdatering av den LiU övergripande riskkartan fram. Ett förlängt och utvidgat ledningsråd diskuterar strategi, kvalitet och riskanalys och gör de förändringar i strategikarta, riskbedömningar, förslag till initiativ och åtgärder som behövs. Oktober Arbetsgruppen för riskanalys sammanställer det underlag som Universitetsledningen behöver för sin presentation inför styrelsens novembersammanträde.