Regler och riktlinjer för intern styrning och kontroll vid KI

Riktlinjer Dnr: 1795/2009-010 2009-06-01 Sid: 1 / 9 Universitetsförvaltningen Ledningskansliet Regler och riktlinjer för intern styrning och kontroll vid KI Riktlinjerna är fastställda av konsistoriet 2009-06-01 Postadress Besöksadress Telefon E-Post Karolinska institutet 171 77 Stockholm 08-524 800 00 08-524 865 71, dir Ingrid.katzler@ki.se www.ki.se Fax ki.se Org. nummer 202100 2973

Sid: 2 / 9 Innehållsförteckning 1. Syftet med riktlinjer 2. Vad är intern styrning och kontroll? 3. Regelverket 3.1 Myndighetsförordningen 3.2 Förordningen om intern styrning och kontroll 3.3 Internrevisionsförordningen 3.4 Förordningen om årsredovisning och budgetunderlag 3.5 Högskoleförordning 4. Ansvarsfördelning och roller 4.1 Konsistoriet 4.2 Rektor 4.3 KIs chefer 4.4 Verksamhetsstyrelser 4.5 Samtliga medarbetare 4.6 Internrevisionen 5. Genomförande av processen intern styrning och kontroll 5.1 Förutsättningar och förberedelser 5.2 Riskanalys 5.3 Kontrollåtgärder 5.4 Uppföljning 5.5 Dokumentation 5.6 Bedömning

Sid: 3 / 9 1. Syftet med riktlinjer Syftet med dessa riktlinjer är att fastställa hur arbetet enligt förordningen om intern styrning och kontroll ska bedrivas vid KI samt redogöra för ansvars- och rollfördelning. Syftet är också att på ett samlat sätt informera om det bakomliggande regelverket samt definiera begrepp inom området. 2. Vad är intern styrning och kontroll? Med intern styrning och kontroll avses den process som syftar till att myndigheten med rimlig säkerhet fullgör de krav som framgår av 3 myndighetsförordningen, (2 förordning (2007:603) om intern styrning och kontroll). Av 3 myndighetsförordningen framgår att myndighetens ledning ansvarar inför regeringen för verksamheten och för att verksamheten utförs effektivt enligt gällande rätt och de förpliktelser som följer av Sveriges medlemskap i Europeiska unionen med en tillförlitlig och rättvisande redovisning med god hushållning med statens medel Med effektiv verksamhet avses att myndigheten bedriver den verksamhet som riksdagen och regeringen beslutat om samt att regeringens mål för verksamheten uppnås. 1 Verksamhetskraven i myndighetsförordningen beskriver hur myndigheten ska uppnå sina verksamhetsmål. En god intern styrning och kontroll ger förutsättningar att driva verksamheten på ett effektivare sätt och att med större träffsäkerhet uppnå önskat resultat. Med en god intern styrning och kontroll kan både avsiktliga och oavsiktliga fel förhindras och oegentligheter begränsas 2. 3 Regelverket Det är följande fem förordningar som tillsammans, i huvudsak, utgör regelverket för intern styrning och kontroll för universitet och högskolor: Myndighetsförordningen (2007:515) Förordningen (2007:603)om intern styrning och kontroll Internrevisionsförordningen (2006:1228) Förordningen (2000:605) om årsredovisning och budgetunderlag Högskoleförordning (1993:100) 1 Ds 2006:15 Intern styrning och kontroll i staten 2 ESV 2008:13 Handledning intern styrning och kontroll s 6

Sid: 4 / 9 3.1 Myndighetsförordningen I 3 myndighetsförordningen ställs krav på myndighetens ledning som avser ansvaret för verksamheten inför regeringen, se ovan under punkt 2. Alla delar av myndighetsförordningen gäller inte för universitet och högskolor eftersom det i förordningen står att om en lag eller förordning innehåller en bestämmelse som avviker från myndighetsförordningen gäller den bestämmelsen. Av högskoleförordningen framgår vilka delar av myndighetsförordningen som är tillämpliga för universitet och högskolor. Detta medför att skrivningen om intern styrning och kontroll i myndighetsförordningen inte gäller universitet och högskolor utan där gäller istället högskoleförordningens 2 kap 2 p 2, se vidare nedan. 3.2 Förordningen om intern styrning och kontroll Förordningen om intern styrning och kontroll ställer krav på hur en myndighet ska arbeta för att uppfylla verksamhetskraven. Av förordningen framgår vilka moment som skall ingå i processen intern styrning och kontroll. Momenten är riskanalys, kontrollåtgärder, uppföljning och dokumentation. Intern styrning och kontroll uttrycks i förordningen som en process. Det ska inte tolkas som en separat process utan den måste vara integrerad i myndighetens sätt att bedriva sin verksamhet. Intern styrning och kontroll ska ingå i alla de processer/aktiviteter etc som myndigheten genomför för att utföra verksamheten. 3 ESV har utfärdat föreskrifter och allmänna råd till förordningen och också gett ut en handledning till stöd för myndigheterna. 3.3 Internrevisionsförordningen Av internrevisionsförordningen framgår att internrevisionen ska granska och lämna förslag till förbättringar av myndighetens process för intern styrning och kontroll. Av förordningen framgår vidare att internrevisionen utifrån en analys av verksamhetens risker självständigt ska granska om ledningens interna styrning och kontroll är utformad så att myndigheten med en rimlig säkerhet fullgör de krav som framgår av 3 myndighetsförordningen. God sed inom internrevisionsområdet slår fast att revisionsarbetet ska bedrivas självständigt för att säkerställa en objektiv gransknings- och rådgivningsverksamhet. Det betyder att internrevisorn inte kan delta aktivt i det dagliga arbetet med intern styrning och kontroll. 3.4 Förordningen om årsredovisning och budgetunderlag I 8 förordning om årsredovisning och budgetunderlag står att årsredovisningen skall skrivas under av myndighetens ledning. Underskriften innebär att ledningen intygar att årsredovisningen ger en rättvisande bild av verksamhetens resultat och av kostnader, intäkter och myndighetens ekonomiska ställning. Ledningen vid de förvaltningsmyndigheter under regeringen som omfattas av förordningen om intern styrning och kontroll skall i anslutning till underskriften i årsredovisningen lämna en bedömning av huruvida den interna styrningen och kontrollen är betryggande. I de fall ledningen bedömer att den interna styrningen och kontrollen vid myndigheten inte är betryggande ska aktuella brister kortfattat och i punktform framgå av underskrifts- 3 ESV 2008:13 Handledning intern styrning och kontroll s 9

Sid: 5 / 9 meningen. Grunden för denna bedömning är den dokumentation som upprättats enligt förordningen om intern styrning och kontroll. 3.5 Högskoleförordning Av högskoleförordningen 2 kap 2 p2 framgår att högskolans styrelse ska säkerställa att det vid högskolan finns en intern styrning och kontroll som fungerar på ett betryggande sätt. 4. Ansvarsfördelning och roller Den interna styrningen och kontrollen är till stor del en fråga om att tydliggöra ledningens (konsistoriets) verksamhetsansvar. Det är konsistoriets ansvar att utforma och upprätthålla den interna styrningen och kontrollen. Det är konsistoriets ansvar att vara en aktiv part i arbetet med intern styrning och kontroll, ställa tydliga krav och löpande hålla sig uppdaterad. 4 Genom besluts- och delegationsordning för KI delegeras ansvar till chefer på olika nivåer i organisationen. Observera att det övergripande ansvaret inte kan delegeras utan detta avser endast hur KI internt organiserar sin verksamhet. 4.1 Konsistoriet Konsistoriet ska årligen fatta beslut om KIs övergripande riskanalys innefattande riskidentifiering, riskvärdering och riskhantering samt kontrollåtgärder. Konsistoriet bör därför veta vilka de allvarligaste riskerna är, vara medvetet om vilken påverkan olika händelser kan medföra, se till att erforderligt risk- och säkerhetsmedvetande finns i hela organisationen samt kunna känna sig säkert på att organisationens riskhantering fungerar effektivt. 4.2 Rektor Rektor ska fatta beslut om anvisningar/råd avseende intern styrning och kontroll samt ansvarar för att riktlinjerna för intern styrning och kontroll implementeras. Rektor ansvarar för att utarbeta riskanalys samt förslag till konsistoriet på riskvärdering, riskaptit, riskhantering och kontrollåtgärder. Vidare ansvarar rektor för att ett samlat underlag för uppföljning presenteras för konsistoriet och att en samlad dokumentation av processen för intern styrning och kontroll upprättas och presenteras för konsistoriet. 4.3 KIs chefer (prefekter, universitetsdirektör, bibliotekschef) I ansvarsområdet för chefer på olika nivåer ingår att upprätthålla en god intern styrning och kontroll. De bör följa upp viktiga verksamheter, prestationer och resultat utifrån bl a nyckeltal och andra indikatorer och i övrigt samla in erforderlig information för att få kännedom om eventuella risker i verksamheten. De ska rapportera väsentliga avvikelser till rektor och konsistoriet. KIs chefer ska årligen genomföra och fastställa riskanalyser för den verksamhet de är ansvariga för. KIs chefer ska vidare lämna en årlig bedömning av huruvida den interna styrningen och kontrollen är betryggande inom den verksamhet de är ansvariga för. 4.4 Verksamhetsstyrelserna (US, FS och FUS) I ansvarsområdet för verksamhetsstyrelserna ingår att upprätthålla en god intern styrning och kontroll. De bör följa upp viktiga verksamheter, prestationer och resultat utifrån bl a nyckeltal och andra indikatorer och i övrigt samla in erforderlig information för att få 4 ESV 2008:13 Handledning intern styrning och kontroll s 7

Sid: 6 / 9 kännedom om eventuella risker i verksamheten. De ska rapportera väsentliga avvikelser till rektor och konsistoriet. KIs verksamhetsstyrelser ska årligen genomföra och fastställa riskanalyser för den verksamhet de är ansvariga för. KIs verksamhetsstyrelser ska vidare lämna en årlig bedömning av huruvida den interna styrningen och kontrollen är betryggande inom den verksamhet de är ansvariga för. 4.5 Samtliga medarbetare Samtliga medarbetare har ett eget ansvar för att bidra till en god intern styrning och kontroll och bör rapportera till närmaste chef om man upptäcker avvikelser. 5 4.6 Internrevisionen Internrevisionen ska granska den interna styrningen och kontrollen i enlighet med internrevisionsförordningen. Se vidare under rubriken internrevisionsförordning. Konsistoriet kan besluta att internrevisionen ska utföra särskilda gransknings- och rådgivningsinsatser inom intern styrning och kontroll som underlag för konsistoriets bedömning. 5. Genomförande av processen intern styrning och kontroll 5.1 Förutsättningar och förberedelser Förordningen om intern styrning och kontroll anger vilka moment som ska ingå i processen för intern styrning och kontroll. Dessa moment är obligatoriska. Vid sidan av dessa obligatoriska moment finns några andra förutsättningar som är avgörande för om momenten är effektiva. De förutsättningarna är; myndighetens interna miljö, effektiva informations- och kommunikationssystem, att den interna styrningen och kontrollen är infogad som en integrerad del i verksamhetsplaneringen samt att myndigheten har formulerat sina mål och uppgifter på ett sådant sätt att de kan användas för att göra den riskanalys som förordningen kräver. 6 5.2 Riskanalys (inkl övergripande beskrivning av modellen) Det obligatoriska momentet riskanalys innebär att utföra riskidentifiering, riskvärdering och riskhantering. Detta innebär att identifiera risker, värdera de identifierade riskerna, besluta om hur riskerna ska hanteras samt uppdatera riskanalysen. Riskanalyser ska genomföras på institutions- och verksamhetsstyrelsenivå inom KI och dessa ska utgöra underlag för den riskanalys som sammanställs för KI som helhet. En riskanalys för universitetet som helhet ska sammanställas en gång per år och uppdateras regelbundet. 5 Beskrivningen av ansvarsfördelning är inspirerad av Ferma Standard för risk management 2002 s 11 6 ESV 2008:13 Handledning intern styrning och kontroll s 13

Sid: 7 / 9 Riskidentifiering avser att upptäcka och tydliggöra alla risker en organisation är utsatt för. Riskidentifiering ska utföras på ett metodiskt sätt för att alla betydande risker inom organisationen ska kunna identifieras. Riskerna ska beskrivas och kategoriseras. 7 I beskrivningen ska ingå att redogöra för vilka konsekvenserna kan bli om det som identifierats som en risk också inträffar. Riskvärdering innebär att bedöma sannolikheten för att en händelse inträffar samt vilka konsekvenserna av en sådan händelse blir. Risk kan definieras som kombinationen av sannolikheten för en viss händelse och dess konsekvenser. 8 KIs modell för riskvärdering innebär att när KI analyserar sannolikheten för att en händelse inträffar och konsekvensen av det inträffade ska graden av sannolikhet och konsekvens uttryckas i siffror. Genom att värdera riskerna på detta sätt möjliggörs en gradering av riskerna och då skapas också ett underlag för beslut om hantering av dessa. Riskhantering Sista steget i riskanalysen är att besluta om hantering av riskerna. Enligt ESVs allmänna råd till 3 förordningen om intern styrning och kontroll innebär beslut om hantering av risker att besluta om en risk ska accepteras, begränsas, delas eller elimineras. Ansvariga för respektive riskområde ska utses som har ansvar för den fortsatta hanteringen av respektive riskområde. att acceptera risk innebär att inte vidta några åtgärder att begränsa risk innebär att minska sannolikheten och/eller konsekvensen av att en händelse inträffar att dela risk innebär inom staten främst genom skadereglering via Kammarkollegiet att undvika risk innebär att undvika de aktiviteter som ger upphov till risken Ledningen (konsistoriet) behöver ställa de olika handlingsalternativen mot frågan om vad det kostar att genomföra de åtgärder som är nödvändiga för att risken ska sänkas till en bedömd acceptabel nivå. 9 5.3 Kontrollåtgärder Utifrån resultatet av riskanalysen måste konsistoriet fatta beslut om hur riskerna ska hanteras. De accepterade riskerna medför inte några kontrollåtgärder alls medan övriga risker kräver åtgärder. Åtgärderna som vidtas kan vara av olika karaktär, alltifrån förändringar i regler och riktlinjer till informationsinsatser och avstämningar. Eftersom kontrollåtgärderna ska vara integrerade i myndighetens verksamhet är det respektive chef inom verksamheten som är ansvarig och har befogenhet att utforma kontrollåtgärderna. 10 En plan för kontrollåtgärder ska tas fram enligt den mall som beslutats i anvisningar för intern styrning och kontroll. En myndighetsövergripande plan för kontrollåtgärder avseende de väsentligaste riskerna ska beslutas av konsistoriet. 7 Ferma Standard för risk management 2002 s 6 8 Ferma Standard för risk management 2002 s 3 9 ESV 2008:13 Handledning intern styrning och kontroll s 17 10 ESV 2008:13 Handledning intern styrning och kontroll s 19

Sid: 8 / 9 5.4 Uppföljning I 5 förordning om intern styrning och kontroll stadgas att den interna styrningen och kontrollen systematiskt och regelbundet ska följas upp och bedömas. Vid bedömningen skall iakttagelser som lämnas vid extern revision och internrevision beaktas Processen för intern styrning och kontroll måste följas upp och utvärderas för att avgöra om den fungerar på ett över tiden hållbart sätt. Konsistoriet ska försäkra sig om att riskanalysen och kontrollåtgärderna är tillräckliga. Kontrollåtgärdernas uppgift är att sänka riskerna till en för myndigheten acceptabel nivå. 11 Genomförd uppföljning ska utmynna i en bedömning av huruvida införda kontrollåtgärder resulterat i det som avsetts, dvs att minska riskernas sannolikhet och/eller konsekvens. Uppföljningen bör också ge svar på vilka slutsatser som kan dras inför bedömningen av den interna styrningen och kontrollen. I uppföljningen bör också tydliggöras gjorda erfarenheter som kan användas för att förbättra det fortsatta arbetet. 5.5 Dokumentation Enligt ESVs föreskrifter till 6 i förordningen om intern styrning och kontroll ska dokumentationen upprättas så att det går att följa myndighetens process för intern styrning och kontroll från riskanalys till beslut om kontrollåtgärder och till uppföljning och bedömning. Dokumentationen ska ligga till grund för konsistoriets bedömning av den interna styrningen och kontrollen som ska göras i anslutning till underskriften i årsredovisningen. Dokumentationen ska innehålla en beskrivning av den interna miljön förteckning över befintliga styrdokument, rutinbeskrivningar mm riskanalys samt beskrivning av hur arbetet med riskanalyser har bedrivits beskrivning av kontrollåtgärder och vem som är ansvarig för respektive åtgärd genomförd uppföljning samt en beskrivning av hur arbetet med uppföljning utförts en sammanställning av Riksrevisionens och internrevisionens rapporterade iakttagelser och rekommendationer en preliminär bedömning av den interna styrningen och kontrollen 5.6 Bedömning Konsistoriets underlag för bedömning av den interna styrningen och kontrollen enligt förordningen om årsredovisning och budgetunderlag, se s 3, är upprättad dokumentation enligt ovan, intern- och externrevisionens bedömningar samt den enskilde konsistorieledamotens kunskap och erfarenhet. 11 ESV 2008:13 Handledning intern styrning och kontroll s 20

Sid: 9 / 9