Övergripande riskhantering i Göteborgs Stad Internkontrollfunktionen Jonas Kinnander och Anna Lycke Börjesson 2014-05-15
Agenda Bakgrund Kort om intern styrning och kontroll Gemensam riskhantering? Fortsatt arbete
Bakgrund
Våren 2010 Massmedialt fokus angående mutor inom Göteborgs Stad och att organisationen skulle genomsyras av en begränsad öppenhet. Våren 2011 Handlingsplan för att förstärka den interna kontrollen och öppenheten (5 delprojekt) Intern kontroll Gemensam byggprocess Whistle-blower Utbildning Bakgrund Regelverk, riktlinjer och policies
Delprojekt Intern kontroll I uppdraget ingick att: Fastställa en normativ modell (COSO) för intern kontroll i Göteborg Stad Övergripande nulägesanalys Framtagande av handlingsplan för utveckling av den interna kontrollen Införa en obligatorisk självutvärderingsmodell samt extern validering av den interna kontrollen i samtliga nämnder och bolag Genomföra en förstudie om vilka funktioner, roller och ansvarsområden som bör finnas på en internrevisionsfunktion på Stadskansliet
Internkontrollfunktionens uppdrag Riktlinjer för intern (styrning och) kontroll Instruktioner/tillämpningsanvisningar för intern (styrning och) kontroll Systemstöd (Rappet) Bistå verksamheterna i arbetet med hur väsentliga risker kan identifieras och hanteras Kontrollera och utvärdera (övervaka) att nämnder/styrelser uppfyller sina åtaganden avseende intern kontroll i enlighet med stadens regler Genomföra självdeklarationer
Intern styrning och kontroll
Intern kontroll ett lagkrav Kommunallagen (1991:900) 6 kap. 7 Nämnderna skall var och en inom sitt område se till att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige har bestämt samt de föreskrifter som gäller för verksamheten. Nämnderna ska se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt.
Intern kontroll är ett vitt begrepp! Rättvisande räkenskaper, skydd av tillgångar Kontroll av rutiner och regelverk med nära koppling till räkenskaperna - attest och utanordning, kontoplaner mm Kontroll av rutiner och regelverk med koppling till administrativa stödprocesser - inköp, löner mm Styrning och kontroll av hela verksamheten - mål och strategier, budget, och andra styrande regelverk
COSO - Ett etablerat ramverk för intern styrning och kontroll Intern kontroll definieras som en process som påverkas av bolagets styrelse, ledning och annan personal, och som utformats för att ge en rimlig försäkran om att enhetens mål uppnås inom följande områden: Ändamålsenlig och effektiv verksamhet Tillförlitlig (finansiell) rapportering Efterlevnad av tillämpliga lagar och förordningar Ur COSO: s ramverk för Internal Control 1992
Kärnan i intern styrning och kontroll Att utgå från verksamhetsmålen (inkl. yttre krav) Att riskerna tas fram för att målen inte uppnås Att de viktigaste av dessa risker lyfts fram Att man arbetar med åtgärder (kontrollerande aktiviteter) för att reducera dessa risker Att man genomför löpande uppföljningar och/eller separata utvärderingar för att se till att kontrollerna (dvs. de riskreducerande åtgärderna) fungerar som det är tänkt.
Kärnan i intern styrning och kontroll Alla nivåer och funktioner (även processer/områden) i organisationen har en egen intern styrning och kontroll Att det finns en genomtänkt rollfördelning i organisationen när det gäller arbetet med intern styrning och kontroll ( principen om tre försvarslinjer ) Att verksamhetsledningen ansvarar och stödjer arbetet med intern styrning och kontroll (tone-of-thetop)
Så vad handlar det om egentligen? Ordning och reda Göra rätt saker. Göra saker rätt. Systematiserat sunt förnuft
Varför ska vi arbeta med intern kontroll?
Gemensam riskhantering?
Många krav på (olika) riskanalyser Exempel på stadsövergripande styrdokument som ställer krav på riskanalys Intern styrning och kontroll: riskanalys utifrån uppfyllelse av mål/uppdrag för verksamheten (Riktlinje) Finans: riskanalys utifrån finansiella risker inkl ränterisk, valutarisk, motpartsrisk och operativa risker (Riktlinje) Budget: riskanalys för behov av eget kapital i nämnder/styrelser (Regler) Försäkring: riskanalys över verksamhetens risker som grund för beslut om försäkring (Riktlinje) Säkerhet: riskanalys utifrån person-, fysisk- och informationssäkerhet samt krisberedskap (Policy) SBA: riskanalys utifrån brandrisker (Riktlinje) Arbetsmiljö: riskanalys utifrån ohälsa/olycksfall för personal (Policy) Räddningstjänst: riskanalys gällande olyckor i samhället för dimensionering och förebyggande arbete (Program)
Många krav på (olika) riskanalyser Exempel på lagar, förordningar och föreskrifter som ställer krav på riskanalys Säkerhetsskyddslagstiftning: analys över verksamheten avseende rikets säkerhet/skydd mot terrorism PuL: riskanalys gällande behandling av personuppgifter HSL/PDL/PDA: riskanalys ska genomföras avseende hantering/åtkomst av information inom hälso- och sjukvård Svenska kraftnäts föreskrifter: riskanalys avseende verksamhet/anläggningar som är anslutna till svenska stamnätet Finansinspektionen: riskanalys för försäkringsverksamhet (EU:s Solvens II direktiv) MSB föreskrift: riskanalys avseende krisberedskap och höjd beredskap
Gemensam riskhantering? Risk Verksamhetsplanering Intern kontroll Lokaler och fasta tillgångar IT Kris och katastrofer Arbetsmiljö och hälsa Andra krav på riskanalyser Gemensamma begrepp, synsätt och metoder?? Sammanhållet riskarbete / Riskkontroll??
Övergripande riskhanteringsprocess Vilken är vår definition på risk? Vilka risker ska bedömas och värderas? dvs. på vilket sätt ska vi kategorisera våra risker? Vilka regler ska vi använda för bedömning av risker? dvs. ska vi ha gemensamma nivåer för bedömning av sannolikhet och konsekvens? Hur/på vilket sätt ska vi hantera (acceptera/reducera/transferera/ undvika) våra risker? dvs. ska vi ha ett gemensamt beslutsschema? På vilket sätt ska vi följa upp våra risker? dvs. ska vi ha en stadenövergripande riskkontroll?
Fortsatt arbete
Fortsatt arbete Uppdatering av riktlinjer Budget och uppföljning Intern kontroll Riskhantering Tillämpningsanvisningar/handbok Dialog med bolag och förvaltningar