pwc Revisionsrapport

(1)

Rebecka Hansson Certifierad kommunal revisor Aukt oriserad revisor

Erik Ja nsen R evisionskonsult

EmilEkbom Revisionskonsult Augusti

2017

pwc

Revisionsrapport

(2)

Intern kontroll inom Divisionerna: Närsjukvärd, Länssjukvärd, Service och Länsteknik

Innehåll

Sammanfattning .•..•••••...•...•....•...•...•...•...•...

2

1. 2. 3. 4. 5. 6. 7. 8. 9. Inledning ....•...•...•..•...•... 4

Intern styrning och kontroll samt COSO-modellen ... 8

Formella utgångspunkter ..•...•...•...•... ...•...

¹⁰

• • • • 0

Overgr1pande n1va •••••••••..•..••••.•...•...••••••••••••••••••••••••••..•..•••• 13

Iakttagelser Division Närsjukvård .•...•...•...• 15

Iakttagelser Division Länssjukvård ...

20

Iakttagelser Division Service ....•...••.••...••.•... 25

Iakttagelser Division Länsteknik ...•. ...•...• 31

Bedömning ...•... 36

2017-08-28

Rebecka Hansson

Certifierad kommunal revisor Auktoriserad Revisor

Projektledare

Augusti 2017 Region Norrbotten PwC

...

^~

Marie Lindblad

Certifierad kommunal revisor Uppdragsledare

1 av37

(3)

Sammanfattning

Syftet med granskningen har varit att bedöma om regionstyrelsens interna kontroll inom divisionerna närsjukvård, länssjukvård, service och länsteknik är tillräcklig.

Vår sammanfattade revisionella bedömning är att regionstyrelsens interna kontroll inom respektive granskad division är delvis tillräcklig.

Vår bedömning baseras på följande :

• Kontrollmiljön inom de granskade divis ionerna är delvis tillräcklig. Inom

regionen finns brister i dokumenthanteringssystemet VIS. Detta påverkar även vår bedömning av kontrollmålet. I sammanhanget noterar vi dock att regionstyrelsen gett regiondirektören i uppdrag att utreda och åtgärda identifierade problem relaterade till VIS. Vi ser positivt på denna åtgärd och bedömer att VIS, i ett läge där bristerna avhjälps, lämnar goda förutsättningar att stärka kontrollmiljön inom regionens verksamheter.

• Vi har i vår granskning int e erhållit några revisionsbevis som kan styrka att det finns någon dokumenterad, eller på annat sätt tydliggjord, riskbedömning som ligger till grund för internkontrollplanens kontrollaktiviteter. Detta bedömer vi som otillräckligt. I sammanhanget noterar vi dock att regionstyrelse n fattat beslut för att utveckla området riskbedömning. Vi ser positivt på denna åtgärd.

• Inom division service är kontrollmomenten i internkontrollplanen inrapporterade och väl förankrade i verksamheterna. V år bedömning är att kontrollmomentens status således är tillräcklig inom division service. Övriga tre divisioner har inrapporterat kontrollmomenten på ett korrekt sätt. Däremot bedömer vi att kontrollmomenten inte är fullt ut förankrade inom divisionerna närsjukvård , länssjukvård och länsteknik. Inom dessa tre divisioner bedöms kontrollmomenten vara delvis tillräckliga.

• Divisionerna närsjukvård, länssjukvård och länsteknik har strukturerade och väl fungerande form er för information och kommunikation. Vår bedömning är att området information och kommunikation är tillräckligt inom d essa tre divisioner.

Division service uppvisar vissa brister inom området, vilket gör att vi bedömer att området information och kommunikation vara delvis tillräckligt inom divisionen.

De brister vi uppmärksammat inom division service bedöms delvis bero på divisionens organisationsstruktur, som idag är under revidering. Avhjälps de organisatoriska bristerna bedömer vi att det kan stärka området information och kommunikation.

• Divisionerna närsjukvård, länssjukvård och service har en d elvis tillräcklig uppföljning och utvä rdering. De främsta bristerna finns inom enskilda chefers kunskaper inom ekonomi, vilket påverkar möjligheten till att använda erhållen uppföljningsdata som utvärderingsmaterial. Vår bedömning är däremot att uppföljningen och utvärderingen är tillräcklig inom division länsteknik.

Augusti 2017

Region Norrbotten

P wC

2av 37

(4)

Intern kontroll inom Divisionerna: Närsjukvård, Länssjukvård, Service och Länsteknik

I Nedan sammanfattas respektive divisions uppfyllelse av kontrollkomponent utifrån den färgmässiga bedömningsskalan tillräcklig, och otillräcklig.

Division Nä1·sjukvåJ."<l

Division Service

Augusti ²⁰¹⁷ Region Norrbotten

PwC

Division LänssjukvArd

Division Läusteknik

3av37

(5)

1. Inledning

t.t. Bakgrund och syfte

Syftet med den interna kontrollen är att säkerställa att fastställda mål uppnås. Intern styrning och kontroll

¹

är även ett ledningsverktyg för verksamheterna. Den interna kontrollen ska i stor utsträckning vara integrerad i verksamhetens dagliga processer och rutiner och beröra all personal. I den interna kontrollen ingår att:

• Skapa ändamålsenliga och väl dokumenterade system och rutiner.

• Säkra rättvisande och tillförlitlig redovisning och information om verksamheten .

• Säkerställa att lagar, policy, reglemente m .m. tillämpas.

• Skydda mot förluster och förstörelse av regionens tillgångar.

• Upptäcka och eliminera allvarliga fel.

I ansvaret för den interna kontrollen ingår att värdera befintliga risker och vidta åtgärder för att förebygga och minimera att det inte önskvärda inträffar. Regionstyrelsen inom Region Norrbotten har ansvaret för att den interna kontrollen fungerar.

Under revisionsåret

2016

genomförde revisorerna i Region Norrbotten en granskning av den interna kontrollen inom Division Folktandvård. Den sammanfattande bedömningen var att d åvarande landstingsstyrelsen (nu regionstyrelsen) hade en delvis tillräcklig intern kontroll inom divisionen. Bedömningen baserades främst att det upprättats

grundläggande dokumentation och rutiner, men att arbetet m ed enskilda COSO- komponenter, såsom främst tydliggjord riskbedömning, behövde vidareutvecklas.

Utifrån granskningen av intern kontroll inom Division Folktandvård beslutade revisorerna, efter genomförd riskanalys inför revisionsåret 2017, att genomföra en

granskning av regionstyrelsens interna kontroll inom övriga divisioner. Denna granskning omfattas således; Division Närsjukvård, Division Länssjukvård, Division Service och Division Länsteknik.

t.2. Revisionsfråga, revisionskriterier och kontrollmål

i.2.1.

Revisionsfräga

Granskningen syftar till att besvara följande revisionsfrågor:

Är r egionstyrelsens interna kontroll inom Division Närsjukvård tillräcklig?

Är regionstyrelsens interna kontroll inom Division Länssjukvård tillräcklig?

Är regionstyrelsens interna kontroll inom Division Service tillräcklig?

L _ _

1 I rapporten används både begreppen "intern styrning och kontroll" samt "intern kontroll" som synonymer. Begreppet

"intern styrning och kontroll" kommer från COSO-modellen, medan intern kontroll används i kommunallagen.

Augusti 2017 Region Norrbotten

P wC

4av37

(6)

Är regionstyrelsens interna kontroll inom Division Länsteknik tillräcklig?

i.2.2.

Revisionskriterier

• Kommunallagen 6 kap

• COSO-modellen

• Regionfullmäktiges strategiska plan

2017-2019.

• Regionstyrelsens reglemente

• Regionens tillämpningsanvisning för intern kontroll

i.2.3 . Kontrollmål

Analys och bedömning av den interna kontrollen görs utifrån COSO-modellens fem komponenter:

• Kontrollmiljö

• Riskbedömning

• Kontrollmoment

²

• Information & Kommunikation

• Uppföljning & Utvärdering, där regionstyrelsen vidtagit åtgärder i de fall brister har konstaterats.

Se mer i kap1te

2

för en mer detaljerad redogörelse för COSO-modellens olika komponenter.

t.3. Avgränsning och metod

COSO-ramverket är ett internationellt etablerat ramverk för utvärdering och utveckling av intern styrning och kontroll. Modellen definierar intern styrning och kontroll som en process där både den politiska ledningen, verksamhetens tjänstemän samt övrig personal samverkar. Modellen tar sin utgångspunkt i fem olika komponenter:

• Kontrollmiljö

• Riskhantering

• Kontrollaktiviteter

• Information

• Uppföljning/utvärdering

Med utgångspunkt i de i COSO-modellen ingående komponenterna kommer ett antal kriterier för att verifiera god intern kontroll att fastställas i granskningen. Kriterierna kommer att omfatta ansvarsfördelning, mål, förekomst av policys och riktlinjer, kännedom om den interna kontrollens syfte hos de intervjuade,

medarbetarundersökningar, kompetens, riskidentifierng och hantering, utformning av kontroller, systematik för uppföljning och återrapportering. I granskningen har särskilt fokus legat på att granska och bedöma vilket arbete som regionstyrelsen säkerställt ska

2 I denna granskning används begreppen kontrollmoment och kontrollaktiviter som synonymer.

5av37

(7)

I ske avseende de riskbedömningar som, enligt COSO-modellen, skall ligga till grund för de kontrollaktiviteter som regionen arbetar utifrån.

Denna granskning fokuserar på.förutsättningarna för att, inom respektive division, bedriva ett aktivt internkontrollarbete, samt efterleva fastställda dokument.

Granskningens fokuserar härigenom på den internkontrollstruktur som finns inom berörda divisioner inom regionen. Granskningen har därför inte omfattat några stickprov för att bedöma omfattningen av efterlevnaden av fastställda rutiner och policydokument inom denna struktur.

För komponenterna som helhet kommer en sammanvägd bedömning att göras per division. Den sammanvägda bedömningen kommer att ske enligt skalan tillräcklig, delvis tillräcklig och otillräcklig. Bedömningen baseras på i vilken utsträckning de fastställda kriterierna uppfyllts. Bedömningarna görs enligt följande skala och kriterier:

Bedömningsrnodell med bedömningsskala och -kriterier.

t

Grön färg innebär att det har upprättats dokument och rutiner, vilka efterlevs, som ger goda

förutsättningar för verksamhetens arbete med den enskilda COSO-komponenten.

innebär att det har upprättats grundläggande dokumentation och rutiner men att arbetet med den enskilda COSO-komponenten bör vidareutvecklas.

Ri><l färg innebär grundläggande dokumentation och

rutiner saknas samt att arbetet med den enskilda COSO-komponenten är av stort behov av att vidareutvecklas.

Underlaget som rapporten bygger på utgörs både av skriftliga källor i form av styr- dokument som muntliga källor i form av intervjuer och avstämningar. De granskade styrdokumenten utgörs av dokument som har bäring på styrelsens interna kontrollarbete, såsom reglemente för intern kontroll, interna kontrollplaner samt uppföljningsrapporter.

I granskningen har intervjuer genomförts med:

• Regionråd

• Regiondirektör

• Biträdande regiondirektör Ekonomidirektör

• Redovisningschef

• Divisionschefer per utvald division

• Divisionernas ekonomichef per utvald division

2

utvalda verksamheter per utvald division (verksamhets- och enhetschef).

o Division länssjukvård:

• Röntgen, Sunderby sjukhus

• Öron-Näsa-Hals mottagning, Sunderby sjukhus

• Division närsjukvård innefattar närsjukvårdschef samt en utvald verksamhet per valt närsjukvårdsområde

6av37

(8)

o Division närsjukvärd:

• Närsjukvårdschef Kalix

• Medicin- och rehabiliteringskliniken, dialysmottagningen

• Närsjukvårdschef Piteå

• Hällans Hälsocentral o Division service:

• Länsservice

• FM Gällivare/ Kiruna o Division länsteknik:

• Medicinsk Teknik Kiruna

• Administrativa system

• Kompetenscentrum

Totalt har 36 personer intervjuats vid totalt 27 intervjutillfällen.

Rapporten har varit föremål för sakgranskning av samtliga intervjuade innan den fastställts.

i.4. Disposition

Denna granskning presenterar först det teoretiska ramverket för COSO-modellen.

Granskningen redovisar sedan de formella utgångspunkterna internkontrollarbetet inom Region Norrbotten. Rapporten presenterar sedan ett avsnitt med revisionsövergripande iakttagelser. Därefter presenteras granskningens iakttagelser och bedömningar utifrån r espektive kontrollkomponent, uppdelat per granskad division. Slutligen presenteras granskningens revisionella bedömningar utifrån granskningens syften.

PwC

7av37

(9)

2. Intern styrning och kontroll samt COSO- modellen

COSO-modellen är ett internationellt etablerat ramverk för utvärdering och utveckling av intern styrning och kontrol13. Som princip för intern kontroll inom Region Norrbotten anges i den styrande tillämpningsanvisningen att regionens arbete inom området bör stödja sig på COSO-modellen (se avsnitt 3 för vidare information kring formella utgångspunkter för internkontrollarbetet).

I COSO-modellen definieras intern kontroll på följande sätt: Intern kontroll kan

övergripande definieras som en process, där såväl den politiska som den professionella ledningen samt övrig personal samverkar, vilken utformas.för att med rimlig grad av säkerhet kunna uppnå.följande mål:

• ändamålsenlig och kostnadseffektiv verksamhet

• tillförlitlig finansiell rapportering och information om verksamheten

• efterlevnad av tillämpliga lagar, föreskrifter, riktlinjer m.m.

Enligt COSO-modellen omfattar intern styrning och kontroll komponenterna

1'.ontrollm1l.Jo , R1skhcdomnmg, Kontrollmoment, Jnf mn 1tion & Kommumkatwn samt Uppföljning & Utvärdering .

l'igur 3 COSO-modellen och dess fem komponenter.

Nedan beskrivs COSO-modellens komponenter.

t Kontrollmiljö är den omgivning som den interna styrningen och kontrollen verkar i och påverkas av.

Detta kan vara riktlinjer, policies, organisationskulturen och ledningens styrning. Kontrollmiljön kan sägas vara fundamentet för den interna kontrollen.

'!, Riskbedömningt handlar om hur risker för verksamheten identifieras, värderas och hanteras.

Det kan t.ex. handla om omvärldsrisker, finansiella risker, legala risker samt

verksamhetsrisker.

3. Kontrollmoment är de aktiviteter som utarbetas för att fel ska upptäckas, åtgärdas och även förebyggas.

3 COSO står för: Committee oj Sponsoring Organizations of the Treadway Commission.

4 I granskningen används begreppen riskbedömning, riskanalys samt väsentlighets-och Iiskanalys som synonymer.

Augusti 2017

Region Norrbotten PwC

8av37

(10)

4. Information & Kommunikation handlar om hur mäl, policies, riktlinjer, risker, awikelser och ätgärder kommuniceras i organisationen.

.> Uppföljning & Utvärdering

handlar om hur organisationen följer upp beslutade mäl och ätgärder samt hur den interna kontrollen

utvärderas och utvecklas.

Det ska understrykas att intern kontroll inte är ett självändamål utan en del av verksamhets- och ekonomistyrningen. Den interna kontrollen är på så sätt ett viktigt instrument för att verksamhetens mål/uppdrag ska kunna uppnås.

Verksamhetsuppföljning, utvärdering och planeringen utgör härigenom även en del i arbetet att bedriva en ändamålsenlig styrning som lämnar förutsättningar för att nä en tillräcklig intern kontroll.

I det praktiska arbetet med intern kontroll är det viktigt att det finns en tydlig koppling mellan mål och de olika COSO-komponenterna. Förhållandet mellan kontrollmiljön, målen och de olika COSO-komponenterna kan schematiskt illustreras på följande sätt:

r-igur 4. Illustration över hur förhållandet mellan kontrollmiljö, mål/uppdrag och de olika COSO-komponenterna bör se ut.

M

Å L

&

u

p p D R

KontrollmiJJ6

Kontrollaktiviteter

: I - -- --- ---- -- --- --____ ^_I

En grundläggande del för att arbetet med den interna kontrollen ska fungera är att det finns tydliga styrsignaler, exempelvis genom dokumenterade rutiner och riktlinjer.

9av37

(11)

3. Formella utgångspunkter

3.1. Lagstiftning

Av kommunallagen 6 :apitlet ., framgår styrelsens s.k. uppsiktsplikt:

Styrelsen ska leda och samordna förvaltningen av kommunens eller landstingets angelägenheter och ha l

uppsikt över övriga nämnders och eventuella geme nsamma nämnders verksamhet.

Styrelsen ska också ha uppsikt över kommunal verksamhet som bedrivs i sådana juridiska personer som avses i 3 kap. 16 a-18 b §§och sådana kommunalförbund som kommunen eller landstinget är medlem i.

Med styrelsens ledande ställning följer att den har till uppgift att ha överblick över hela den kommunala verksamheten.

Av kommunallagen framgår nämndernass ansvar för verksamheten inklusive dess ansvar att säkerställa en god intern kontroll:

Nämnderna skall var och en inom sitt område se till att verksamheten bedrivs i enlighet med de mål och riktlinjer som fullmäktige har bestämt samt de fö reskrifter som gäller för verksamheten.

De skall också se till att den interna kontrollen är tillräcklig samt att verksamheten bedrivs på ett i övrigt tillfredsställande sätt.

Detsamma gäller när vården av en kommunal angelägenhet med stöd av 3 kap. 16 § har lämnats över till någon annan.

3.2. Reglemente f'or intern kontroll i Region Norrbotten

Regionfullmäktige i Norrbotten har inte antagit något specifikt internkontrollreglemente.

Istället regleras ansvaret för den interna kontrollen i det reglemente för regionstyrelsen som regionfullmäktige antagit i november 2016 (§ 113). I reglementet fastslås att:

Styrelsen ska leda och samordna förvaltningen av regionens angelägenheter och ha uppsikt över övriga nämnders och eventuella gemensamma nämnders

verksamhet Oedningsfunktion). Styrelsen ska också ha upps ikt över kommunal

verksamhet som bedrivs i kommunala företag, stiftelser och kommunalförbund.

j

[Styrelsen) ska ansvara för utformning och utveckling av regionens system för intern kontroll i enlighet med vad fullmäktige särskilt beslutar.

Regionstyrelsen har i sin tur, via regionstyrelsens delegationsordning, delegerat ansvar till regiondirektören enligt följande:

Utfärdande av tillämpningsföreskrifter till av regionstyrelsens utfärdade regler och riktlinjer.

s Även styrelsen är i kommunallagens mening en nämnd, om än med vissa särskilt angivna uppgifter (Dalman, Lena (2011). Kommunal/agen: med kommentarer och praxis. 5. omarb. uppi. Stockholm: SKL Kommentus Media)

10 av 37

(12)

I Regiondirektören har godkänt upprättandet av det regioninterna dokumentet

Tillämpningsanvisning för intern kontroll, upprättat av regionens redovisningschef och giltigt från och med

2012-11-12.

Tillämpningsanvisningen sammanfattar regionens organisatoriska nivåers ansvar för den interna kontrollen. I dokumentet anges det ansvar som respektive nivå har utifrån

regionens regler och riktlinjer. Tillämpningsanvisningen anger det ansvar som regionstyrelsen har utifrån lagstiftning och sitt reglemente. Anvisningen anger vidare såväl regiondirektörens som divisionschefens ansvar.

För regiondirektören och divisionschefen inleds respektive stycke med följande text

"Regionens gemensamma regler och riktlinjer anger:" följt av det ansvar som detta dokument medger. Tidigare fanns inom regionen (dåvarande landstinget) ett gemensamt dokument vars namn var just Landstingets gemensamma regler och riktlinjer. Detta dokument finns inte längre, utan reglerna och riktlinjerna är uppdelade i en rad andra separata dokument som sammantaget utgör regionens gemensamma regler och riktlinjer.

Granskningen har inte kunnat styrka att något av dessa nya uppdelade dokument återger samma krav på regiondirektören och divisionschefen för den interna kontrollen som Landstingets gemensamma regler och riktlinjer tidigare angav. Effekten av detta är att tillämpningsanvisningen för intern kontroll hänvisar och sammanfattar respektive organisatorisk nivås ansvar utifrån en dokumentsamling som inte längre publiceras.

I regionstyrelsens svar

(§106

den 3 maj

2017)

till revisionens granskning av den interna kontrollen inom Division Folktandvård

2016

anges att "Regionens

tillämpningsanvisningar för intern kontroll har inte uppdaterats i samband med att regelverket Landstingsgemensamma regler och riktlinjer övergått till att bli separata anvisningar och dokument i regionens informationssystem (VIS). En uppdatering av tillämpningsanvisningarna för intern kontroll ska genomföras under

2017 ... ".

Ovan angiven brist, som även identifierats i granskning av internkontroll under

2016,

är således, av vad regionstyrelsen uppgett, under revidering inom regionen.

Ekonomiavdelningen inom regiondirektörens stab ska enligt tillämpningsanvisningen på regiondirektörens uppdrag:

• Samordna kontakter med divisionerna kring frågor gällande internkontroll.

• Årligen sammanställa en intern kontrollplan

• Årligen sammanställa en uppföljning av den interna kontrollplanen.

• Sprida information och ta fram utbildningsmaterial avseende intern kontroll.

11av37

(13)

Intern kontroll inom Divisionerna: Närsjukvård, Länssjukvård, Seivice och Länsteknik

I Enligt tillämpningsanvisningen för intern kontroll ska en kontrollplan upprättas och dokumenteras. Dokumentationen skall ske i anvisad mall utifrån följande områden:

Vad ska

^Hur

ska Vem har När ska Vem * Redovisas vid kontrolleras kontrollen ansvar för kontrollen rapportering sker rapportering i

genomföras att utföras till årsrapport

kontrollen utförs

Dokumentet Mall for intern kontrollplan specificerar att ovan mall skall användas bäde vid upprättande och uppföljning av internkontrollplanen.

Som princip för intern kontroll anges i tillämpningsanvisningen att regionens arbete inom området bör stödja sig på COSO-modellen.

I den av regiondirektörens fastställda tillämpningsanvisning anges följande för divisionschefen och dess ansvar:

"Divisionschefen ansvarar for planering och uppföljning av den interna kontrollen och ska säkerställa att det.finns en tydlig organisation som beskriver vem som gör vad i internkontrollarbetet. Varje division ska ha en fastställd rutin for planering och uppföljning av den interna kontrollen".

Divisionens ansvar innebär att följa upp egna processer, rutiner och system samt att vara delaktig i de regio ngemensamma

kontrollaktiviteterna nä r så krävs.

Augusti ²⁰¹⁷ Region Norrbotten PwC

Utifrån principerna för intern kontroll i regionen, som specificeras i anvisning, ska

kontrollaktiviteter för divisionen utf ormas.

Divisionen ska i anvisad mall för kontrollplan specificera de aktiviteter som planeras för nästkommande år. Ifylld mall ska vara ekonomiavdelningen tillhanda enligt samma tidsplan som divisionsplanerna. Kontrollplanen ska följas upp och bifogas

till

divisionens års rapport. Upptäckta fel och brister samt vidtagna åtgärder ska i förekommande fall även rapporteras till berörda utanför den egna divisionen.

12

av

37

(14)

Intern kontroll inom Divisionerna: Närsjukvård, Länssjukvärd, Service och Länsteknik

4. övergripande nivå

I detta avsnitt redogör vi för iakttagelser vi gjort på regionövergripande- och

divisionsgemensam nivå. I rapporten kommer vi sedan hänvisa per division till sådana regiongemensamma åtgärder som framgår av stycke 4.1 - 4 .3 nedan.

4.1. Verksamhetsmodell

I vår granskning framkommer att Region Norrbotten befinner sig i ett utvecklingsarbete och kommer att implementera en verksamhetsmodell som syftar till att utveckla

verksamheten. Modellen framgår av figur 5 nedan.

figur 5. Region Norrbottens verksamhetsmodell.

J Vår vision

Ledning & Utveckling

Principer

J Våra värderingar

Modellen beskriver att:

Regionens värderingar skapar stabil och gemensam grund Väggarna visar principer som är viktiga för utveckling Taket visar hur regionen leder och samverkar för utveckling I mitten finns medarbetarna som är regionens viktigaste tillgång

Viljan att förbättra sitt och teamets arbete är kraften som ska leda regionen till visionen

Vid våra intervjuer framhålls att arbetet med att implementera verksamhetsmodellen utgör ett led i regionens arbete att stärka såväl organisationskultur samt ledningens styrning, ledning, uppföljning och kontroll. Vår bedömning är att implementeringen av ovan verksamhetsmodell lämnar goda förutsättningar att stärka organisationens kontrollmiljö.

4.2. Verksamhetens informationssystem (VIS)

I vår granskning, vilket framgår av kontrollkomponenten avseende kontrollmiljö för divisionerna nedan, har brister inom verksamhetens informationssystem, VIS,

PwC

13 av 37

(15)

I identifierats. Bristerna är av sådan omfattning att dessa påverkat bedömningarna av kontrollmiljön inom samtliga divisioner.

I sammanhanget noterar vi dock att regionstyrelsens vid sitt möte 3 maj 2017 (§104) beslutat att ge regiondirektören i uppdrag att utreda och åtgärda identifierade problem relaterade till användningen av dokumenthanteringssystemet VIS.

Vi ser positivt på denna åtgärd och bedömer att VIS, i ett läge där identifierade brister avhjälps, lämnar goda förutsättningar att stärka kontrollmiljön inom regionens verksamheter.

4.3. Riskbedömningar

I vår granskning har vi identifierat brister inom hur regionens riskbedömningar

upprättas, sammanställs och utgör underlag för fastställande av internkontrollplan. Vår granskning kan inte styrka att det inom regionen genomförs dokumenterade, eller på annat sätt tydliggjorda, riskbedömningar på divisionsövergripande nivå utifrån risk och konsekvens.

Våra intervjuer visar även att regionstyrelsen själv identifierat denna brist. I

sammanhanget noterar vi därför att regionstyrelsen vid sitt möte 1 mars 2017 (§106), i svar till en tidigare revisionsrapport inom internkontrollområdet, informerar om rutiner för att säkerställa att divisionerna genomför en dokumenterad risk- och

väsentlighetsanalys vid prioriteringen av interkontrollområdena ska tas fram och tillämpas vid fastställandet av 2018 års kontrollaktiviteter. Rutinerna för att säkerställa att mallar och rutindokument tillämpas vid upprättande och uppföljning av

internkontrollplanerna ska också stärkas. Vid våra intervjuer framkommer att detta arbete, vid tid för denna granskning, pågår inom regionen. Vi ser positivt på denna åtgärd.

P wC

14 av 37

(16)

Intern kontroll inom Divisionerna: Närsjukvård, Länssjukvård, Seivice och Länsteknik

5. Iakttagelser Division Närsjukvård

5.1. Kontrollmiljö

5.u . Definition av begreppet

Kontrollmiljö är den omgivning som den interna styrningen och kontrollen verkar i och påverkas av. Detta kan vara riktlinjer, policies, organisationskultur och ledningens

styrning. Kontrollmiljön kan sägas vara fundamentet för den interna kontrollen.

5.1 .2. Iakttagelser

Vår granskning visar att det inom regionen pågår ett arbete med att implementera Region Norrbottens verksamhetsmodell (se avsnitt 4.1 ovan). Arbetet syftar till att stärka såväl organisationskultur som ledningens styrning, ledning, uppföljning och kontroll.

Av granskningen framgår att medarbetarundersökningar årligen genomförs där

personalens syn i olika frågor inhämtas. Resultaten av undersökningarna bearbetas aktivt och återförs till verksamheterna, bl.a. via arbetsplatsträffar och medarbetarsamtal. Våra intervjuer visar även att verksamheterna, på basis av medarbetarundersökningarnas resultat, upprättar handlingsplaner/ aktivitetslistor för att systematiskt arbeta med de förbättringsområden som visas i undersökningarna.

Vår granskning visar vidare att nyanställda medarbetare genomgår ett

introduktionsprogram där rutiner och riktlinjer introduceras. Checklistor tillämpas i syfte att säkerställa en likvärdig introduktion för samtliga nyanställda. Sammantaget beskrivs introduktionen skapa goda möjligheter för den styrning som är nödvändig inom

organisationen.

Våra intervjuer visar att det i allt väsentligt upplevs finnas en god organisationskultur inom divisionen. Vid våra intervjuer framhålls även att möjligheten till kommunikation med närmaste chef i allt väsentligt uppfattas fungera tillräckligt.

Genom intervjuerna framgår emellertid att kunskapen om, och eftersökande av, väsentliga styrdokument såsom divisionsplan och verksamhetsplan är svag hos

medarbetare inom divisionen. Verksamhetens informationssystem, VIS, beskrivs ha stora brister gällande användbarhet och medför svårigheter att ladda upp samt nå de dokument som finns upplagda. Vid våra intervjuer framkommer att verksamhets- och enhetschefer ofta m åste bistå med praktisk hjälp och vägledning för att medarbetare s ka finna

relevanta dokument, ibland så ofta som på daglig basis. Problemen har medfört interna lösningar där styrande dokument kan nås via respektive verksamhets insida på det interna nätverket, vilken länkar vidare till upplagt dokument i VIS. De dokument som saknar direktlänkar från insidan måste således sökas fram direkt i VIS med tidigare nämnda sökproblem som konsekvens. En tydlig konsekvens vid brister kring eftersökande av dokument, som framkommit av genomförda intervjuer, är att den allmänna kunskapen kring Regionens strategiska målsättningar är svag.

PwC

15 av 37

(17)

5.i.3. Bedömning

Vår revisionella bedömning är att kontrollmiljön inom Division Närsjukvård är delvis I

tillräcklig.

- - - -

Vår bedömning baseras på att det inom divisionen finns goda förutsättningar för en välfungerande kontrollmiljö, inte minst med anledning av det pågående arbete med att implementera den i avsnitt 4.1 beskrivna verksamhetsmodellen. Bedömningen baseras även på att vi ser ett aktivt arbete med medarbetarundersökningar liksom tydliga rutiner för introduktion av nyanställd personal.

Vi ser dock kritiskt på, och vår bedömning påverkas av, den rådande ordningen där verksamhetens verktyg för att nå styrande dokument, VIS, beskrivs ha stora brister. Vi noterar emellertid att regionstyrelsen ålagt regiondirektören att utreda brister inom VIS som framkommit av tidigare granskningar (se avsnitt 4.2 i denna rapport). Vi ser positivt på denna åtgärd och bedömer att VIS, i ett läge där identifierade brister avhjälps, lämnar goda förutsättningar att stärka kontrollmiljön inom regionens verksamheter.

5.2. Riskbedömning

5.2. i. Definition av begreppet

Riskbedömning handlar om hur risker för verksamheten identifieras, värderas och hanteras. Det kant.ex. handla om omvärldsrisker, finansiella risker, l egala risker samt

I verksamhetsrisker.

5.2.2. Iak"ttagelser

Av granskningen framgår att det inom divisionens verksamheter sker riskbedömningar genom det dagliga arbetet i samband med bl.a. arbetsplatsträffar, ronder och

patientsäkerhetsarbete. Utifrån avvikelser sammanställs dessa risker.

Granskningen visar att det arbete som bedrivs utgår från verksamhetsnära risker, vilket gäller för samtliga verksamhetsområden vi besökt. Vår granskning kan dock inte styrka att det finns någon dokumenterad eller på annat sätt tydliggjord risksammanställning på övergripande divisionsledningsnivå som ligger till grund för de internkontrollaktiviteter som sedermera tas fram. De internkontrollaktiviteter som återfinns i divisionsplanen föregås således inte av en samlad bedömning av risk och konsekvens. Vår granskning visar även att styrelsen inte tagit del av något sådant underlag från divisionen.

Se avsnitt 4.3 gällande utvecklingsarbetet för modell kring riskbedömningar inom

regionen. Vid våra intervjuer framkommer att arbetet med att upprätta denna modell, för att inför

2018

dokumentera och analysera risker, pågår inom regionen.

5.2.3. Bedömning

Vår revisionella bedömning är att riskbedömningen inom Division Närsjukvår : _ _ J är otillräcklig.

- -

Vår bedömning baseras på att det inom divisionen finns en process för löpande

avvikelserapportering och riskvärdering kopplat till vårdrelaterade frågor. Vår granskning har dock inte kunnat styrka att denna riskbedömning utgör underlag för de

PwC

16 av 37

(18)

Intern kontroll inom Divisionerna: Närsjukvård, Länssjukvärd, Service och Länsteknik

I kontrollaktiviteter som fastställs för internkontroll inom divisionen, och som regionstyrelsen sedermera godkänner.

Vi har i vår granskning inte erhållit några revisionsbevis som kan styrka att det finns något annat dokumenterat, eller på annat sätt tydliggjort, underlag som ligger till grund för de kontrollaktiviteter som antas för divisionens internkontroll. Vår granskning kan härigenom inte styrka på vilka grunder antagna kontrollaktiviteter uppkommit, värderats eller fastställts.

I sammanhanget noterar vi dock att regionstyrelsen fattat beslut för att utveckla området avseende riskbedömningar. Vi ser positivt på denna åtgärd och bedömer dessutom att det risktänk som finns inom divisionen lämnar förutsättningar att på ett effektivt sätt

fastställa divisionens risker utifrån risk och konsekvens i ett läge där detta sammanställs och analyseras på divisionsgemensam nivå.

5.3. Kontrollmoment

5.3 .

i.

Definition av begreppet

Kontrollmoment är de aktiviteter som utarbetas för att fel ska upptäckas, åtgärdas och även förebyggas.

Iakttagelser

Av divisionsplanen framgår att två internkontrollaktiviteter är fastställda för år

2017,

vilka är:

• Kodning av besök/vårdnadstillfälle.

• Kvalitet i handledning avseende sjuksköterskor och specialtjänstgörande läkare.

I vår granskning finner vi genom våra intervjuer att ovan nämnda aktiviteter rapporterats för upprättande av divisionsplan, samt därefter inhämtats för redovisning och

godkännande i regionstyrelsen.

Vår granskning visar att de kontrollmoment som omfattas av divis ionens internkontrollplan inte föranletts av någon samlad riskbedömning (se ovan kontrollkomponent). Det är således otydligt hur och på vilka grunder aktiviteterna uppkommit. Vidare framgår det av vår granskning att internkontrollplanen och internkontrollaktiviteterna inte heller är kända genom hela organisationen. I

sammanhanget finns skäl att anta att det främst är verksamheter som direkt berörs av årets internkontrollaktiviteter som även har kännedom om dessa. Vår granskning kan emellertid inte styrka att det finns en genomgripande kunskap i organisationen om att de t inom divisionen finns en antagen internkontrollplan, samt vilket syfte denna har i

planeringen av verksamheten.

5.3.3. Bedömning

Vår revisionella bedömning är att kontrollmomenten inom Division Närsjukvård är delvis tillräckliga.

Vår granskning visar att division närsjukvård i sin divisionsplan anger två kontrollaktiviteter för år

2017,

vilket är i enlighet med de krav som ställs i

17

av

37

J

(19)

tillämpningsanvisningen för internkontroll. Vår granskning visar även att dessa upprättats och rapporterats i enlighet med fastställda rutiner.

Av granskningen framgår dock att kännedomen kring de fastställda aktiviteterna varierar inom divisionen. Vår bedömning påverkas härigenom av att det inom divisionen finns en varierande kunskap om årets internkontrollaktiviteter samt regionens internkontrollplan i stort.

5.4. Information och kommunikation

5.4.i. Definition av begreppet

Information och kommunikation handlar om hur mål, policies, riktlinjer, risker, avvikelser och åtgärder kommuniceras i organisationen.

Iakttagelser

Vår granskning visar att det inom division närsjukvård finns en struktur för att säkerställa systematisk informationsgivning och kommunikation inom divisionen. Information förmedlas löpande genom en rad differentierade aktiviteter, såsom arbetsplatsträffar, medarbetarsamtal, dagliga möten, veckomöten samt månadsmöten. Detta uppges vid våra intervjuer skapa en god struktur för att kanalisera information på ett välfungerande sätt från över- till underställd organisationsnivå, samt omvänt.

I granskningen noterar vid dock att det vid enstaka intervjuer framkommit att styr- och kommunikationskedjan ibland inte efterlevs, vilket i vidare led skapat viss oklarhet kring vilka direktiv som är gällande.

5.4.3. Bedömning

Vår revisionella bedömning är att informationen och kommunikationen inom l

Division Närsjukvård, samt från Division Närsjukvård till regionstyrelsen, är tillräcklig.

Vår bedömning baseras på att det finns välutvecklade former för information och kommunikation inom divisionen, samt från divisionen till regionstyrelsen. Som iakttagelserna ovan anger finns välfungerande informations- och

kommunikationsaktiviteter som systematiskt genomförs, samt en fungerande kommunikation från divisionen till överställd nivå.

Vi noterar dock att det vid intervjuer framhållits att det inom divisionen stundtals har funnits brister i efterlevnaden av fastställd styr- och kommunikationskedja. I

sammanhanget bedömer vi inte att detta påverkar kontrollkomponentens måluppfyllnad, men väljer samtidigt att lyfta vikten av att organisationen, på alla nivåer, respekterar och följer fastställd organisationsstruktur och styrkedja.

PwC

18 av 37

(20)

Intern kontroll inom Divisionerna: Närsjukvll.rd, I..änssjukvll.rd, Service och I..änsteknik

5.5. Uppföljning och utvärdering

5.5.i. Definition av begreppet

Uppföljning och utvärdering handlar om hur organisationen följer upp beslutade mål och åtgärder samt hur den interna kontrollen utvärderas och utvecklas.

5.5.2. Iakttagelser

Vår granskning visar att utvärdering utifrån internkontrollaktiviteter genomförs årligen samt sammanställs i den rapport som överlämnas till regionstyrelsen vid årets slut.

Vår granskning visar att uppföljning av verksamheten sker utifrån regionens balanserade styrning. Flertalet chefer har vid våra intervjuer uppgett brister avseende möjligheten till tillräcklig kontroll utifrån ett ekonomiskt perspektiv. Vid våra intervjuer framhölls brister i den ekonomiska uppföljningen i så motto att ansvariga chefer uppges ha svårt att tolka och tillämpa materialet för att leda, styra och kontrollera verksamheterna.

I sammanhanget noterar vi dock att controllers inom divisionen månatligen går igenom det ekonomiska resultatet med respektive chef för att stärka dennes kontroll inom området.

5.5.3. Bedömning

Vår revisionella bedömning är att uppföljningen och utvärderingen inom Division Närsjukvård är delvis tillräcklig.

Vår bedömning baseras på att det inom divisionen sammanställs en utvärdering utifrån de internkontrollaktiviteter som genomförts under året. Sammanställningen överlämnas till regionstyrelsen vid årets slut.

J

Vår granskning visar att systematisk uppföljning sker av de mål som divisionen omfattas av. Vår granskning visar dock att enskilda chefer upplever att det finns brister i

möjligheten att tolka och tillämpa den ekonomiska uppföljningen i syfte att leda, styra och kontrollera verksamheterna. Våra intervjuer visar genomgående att möjligheten till kontroll över verksamhetens ekonomiska utveckling upplevs som bristande. Vi bedömer att området behöver stärkas, men ser samtidigt positivt på den dialog som sker mellan controllers och respektive chef. Vår bedömning är att denna typ av dialog och stöd utgör en viktig del i arbetet med att stärka styrning och kontroll, och därigenom även

förutsättningarna för uppföljning och utvärdering, inom divisionen.

19 av 37

(21)

6. Iakttagelser Division Länssjukvård

6.1. Kontrollmiljö

6.u. Definition av begreppet

Kontrollmiljö är den omgivning som den interna styrningen och kontrollen verkar i och påverkas av. Detta kan vara riktlinjer, policies, organisationskulturen och ledningens styrning. Kontrollmiljön kan sägas vara fundamentet för den interna kontrollen.

6.i.2. Iakttagelser

Vår granskning visar att det inom regionen pågår ett arbete med att implementera Region Norrbottens verksamhetsmodell (se avsnitt 4.1 ovan). Arbetet syftar till att stärka såväl organisationskultur som ledningens styrning, ledning, uppföljning och kontroll.

Av granskningen framgår att årliga medarbetarundersökningar genomförs där resultatet återförs via genomgång i verksamheterna samt genom medarbetarsamtal.

Däremot ska noteras att medarbetarundersökningarna tidvis haft relativt låg svarsfrekvens, vilket, utifrån våra intervjuer i verksamheterna, härleds till svag

allmänkunskap kring undersökningarnas syfte och användningsområde. Samtidigt visar våra intervjuer att verksamheterna, på basis av medarbetarundersökningarnas resultat, upprättar handlingsplaner/aktivitetslistor för att systematiskt arbeta med de

förbättringsområden som visas i undersökningarna, vilket även uppges syfta till att på sikt stärka svarsfrekvensen i undersökningarna.

Vår granskning visar att introduktionsprogram inom divisionen förekommer i varierande grad, men att diskussion på ledningsnivå har initierats för att öka graden av samordning samt säkerställa en god introduktion för nyanställd personal. Även ett arbete kring säkerställande av ekonomisk och administrativ kunskapsnivå hos chefer pågår inom divisionen .

Av granskningen framgår att verksamhetens upplevelse av VIS är att systemet är begränsat utifrån systemets syfte, samt till stor del undermåligt. Detta medför att kunskapen kring styrande dokument är svag, såväl på lednings- som verksamhetsnivå.

För att kringgå bristerna används intranätets webbsida insidan som länk till VIS-

dokument. Detta möjliggör på så sätt att de mest frekvent använda dokumenten kan nås via insidan av personalen. De rutiner och dokument som inte finns länkade från insidan uppges vid intervjuerna vara svåra att nå. Detta framhålls kunna medföra uppenbar risk att regionens strategiska dokument såväl som verksamhetsspecifika dokument inte nås.

I sammanhanget noterar vi det uppdrag regionstyrelsen gett regiondirektören för att utreda identifierade brister kring VIS (se avsnitt 4.2 ovan).

6.i.3. Bedömning

Vår revisionella bedömning är att kontrollmiljön inom Division Länssjukvård är delvis tillräcklig.

Vår bedömning baseras på att det inom divisionen finns goda förutsättningar för en välfungerande kontrollmiljö, inte minst med anledning av det pågående arbete med att implementera d en i avsnitt 4.1 b eskrivna verksamhetsmodellen. Härutöver ser vi ett aktivt

P wC

2oav37

(22)

arbete med medarbetarundersökningar liksom rutiner för introduktion av nyanställd personal som dessutom är under utveckling inom divisionen.

Vi ser dock kritiskt på, och vår bedömning påverkas av, den rådande ordningen där verksamhetens verktyg för att nå styrande dokument, VIS, beskrivs ha stora brister. Vi noterar emellertid att regionstyrelsen gett regiondirektören i uppdrag att åtgärda identifierade brister som framkommit av tidigare granskningar. Vi ser positivt på denna åtgärd och bedömer att VIS, i ett läge där identifierade brister avhjälps, lämnar goda förutsättningar att stärka kontrollmiljön inom regionens verksamheter.

6.2. Riskbedömning

6.2.i. Definition av begreppet

Riskbedömning handlar om hur risker för verksamheten identifieras, värderas och hanteras. Det kant.ex. handla om omvärldsrisker, finansiella risker, legala risker samt verksamhetsrisker.

6.2.2. Iakttagelser

Vår granskning visar att riskbedömning sker på regelbunden basis utifrån ett verksamhetsperspektiv, främst genom avvikelser och andra verksamhetsnära risker.

Vår granskning kan dock inte styrka att det finns någon dokumenterad eller på annat sätt tydliggjord risksammanställning utifrån risk och konsekvens på övergripande nivå som ligger till grund för de internkontrollaktiviteter som sedermera tas fram inom divisionen.

De internkontrollaktiviteter som återfinns i divisionsplanen föregås således inte av en samlad bedömning av risk och konsekvens. Vår granskning visar även att styrelsen inte tagit del av något sådant underlag från divisionen.

Se avsnitt 4.3 gällande utvecklingsarbetet för modell kring riskbedömningar inom

regionen. Vid våra intervjuer framkommer att arbetet med att upprätta denna modell, för att inför

2018

dokumentera och analysera risker, pågår inom r egionen.

6.2.3. Bedömning

Vår revisionella bedömning är att riskbedömningen inom Division Länssjukvård är

otillräcklig. J

Vår bedömning baseras på att det inom divisionen finns en process för löpande

avvikelserapportering och riskvärdering kopplat till vårdrelaterade frågor. Vår granskning har dock inte kunnat styrka att denna riskbedömning utgör underlag för de

kontrollaktiviteter som fastställs för internkontroll inom divisionen, och som regionstyrelsen sedermera godkänner.

Vi har i vår granskning inte erhållit några revisionsbevis som kan styrka att det finns något annat dokumenterat, eller på annat sätt tydliggjort, underlag som ligger till grund för de kontrollaktiviteter som antas för divisionens internkontroll. Vår granskning kan härigenom inte styrka på vilka grunder antagna kontrollaktiviteter uppkommit, värderats eller fastställts.

PwC

21av37

(23)

I sammanhanget noterar vi dock att regionstyrelsen fattat beslut för att utveckla området avseende riskbedömningar. Vi ser positivt på denna åtgärd och bedömer dessutom att det risktänk som finns inom divisionen lämnar förutsättningar att på ett effektivt sätt

fastställa divisionens risker utifrån risk och konsekvens i ett läge där detta analyseras på divisionsgemensam nivå.

6.3. Kontrollmoment

6.3.t. Definition av begreppet

Kontrollmoment är de aktiviteter som utarbetas för att fel ska upptäckas, åtgärdas och även förebyggas.

Iakttagelser

Av divisionsplanen framgår att tre internkontrollaktiviteter är fastställda för år

2017,

vilka är:

• Utredningstid händelseanalyser.

• Leanspel utfört av alla anställda.

• Rutin för anhörig vid sjuktransport.

I vår granskning finner vi genom våra intenjuer att ovan nämnda aktiviteter rapporterats för upprättande av divisionsplan, samt därefter inhämtats för redovisning och

godkännande i regionstyrelsen.

Vår granskning visar att de kontrollmoment som omfattas av divisionens internkontrollplan inte föranletts av någon samlad riskbedömning (se ovan kontrollkomponent). Det är således otydligt hur och på vilka grunder aktiviteterna uppkommit. Vidare framgår det av vår granskning att internkontroll planen och internkontrollaktiviteterna inte heller är kända i hela organisationen.

I sammanhanget finns skäl att anta att det främst är verksamheter som direkt berörs av årets internkontrollaktiviteter som även har kännedom om dessa. Vår granskning kan emellertid inte styrka att det finns en genomgripande organisatorisk kunskap om att det inom divisionen finns en antagen internkontrollplan, samt vilket syfte denna har i planeringen av verksamheten.

Bedömning

Vår revisionella bedömning är att kontrollmomenten inom Division Länssjukvård är delvis tillräckliga.

Vår granskning visar att division länssjukvård i sin divisionsplan anger två kontrollaktiviteter för år

2017,

vilket är i enlighet med de krav som ställs i tillämpningsanvisningen för internkontroll. Vår granskning visar även att dessa upprättats och rapporterats i enlighet med fastställda rutiner.

Av granskningen framgår dock att kännedomen kring de fastställda aktiviteterna varierar inom divisionen. Vår bedömning påverkas härigenom av att det inom divisionen finns en varierande kunskap om årets internkontrollaktiviteter samt regionens internkontrollplan i stort.

PwC

22 av 37

1

(24)

6.4. Information och kommunikation

6.4.i. Definition av begreppet

Information och kommunikation handlar om hur mål, policies, riktlinjer, risker, avvikelser och åtgärder kommuniceras i organisationen.

Iakttagelser

Vår granskning visar att det inom division länssjukvård finns en struktur för att säkerställa systematisk informationsgivning och kommunikation inom divisionen.

Information förmedlas löpande genom en rad olika aktiviteter, såsom arbetsplatsträffar, medarbetarsamtal, dagliga möten, veckomöten samt månadsmöten. Detta uppges vid våra intervjuer skapa en god struktur för att kanalisera information på ett välfungerande sätt från över- till underställd organisationsnivå, samt omvänt.

Bedömning

Vår revisionella bedömning är att informationen och kommunikationen inom ---i Division Länssjukvård, samt från Division Länssjukvård till regionstyrelsen, är tillräcklig.

Vår bedömning baseras på att det uppges finnas välutvecklade former för information och kommunikation inom divisionen, samt i allt väsentligt från divisionen till överställd nivå, samt omvänt.

6.5. Uppföljning och utvärdering

6 .5.1. Definition av begreppet

r Uppföljning och utvärdering handlar om hur organisationen följer upp beslutade mål och åtgärder samt hur den interna kontrollen utvärderas och utvecklas.

6.5.2. Iakttagelser

Vår granskning visar att utvärdering utifrån internkontrollaktiviteter årligen genomförs samt sa mmanställs i den rapport som överlämnas till regionstyrelsen vid årets slut.

Vår granskning visar att uppföljning av verksamheten sker utifrån regionens balanserade styrning. Vid våra intervjuer framhålls brister i den ekonomiska uppföljningen i så motto att ansvariga chefer uppges ha svårt att tolka och tillämpa materialet för att leda, styra och kontrollera verksamheterna.

Våra intervjuer visar samtidigt att det inom divisionen pågår ett arbete för att stärka utbildningsinsatserna som ges enskilda chefer. Detta utvecklingsarbete uppges syfta till att stärka kunskaperna till, och möjligheten för, enskilda chefer att förstå och därigenom utöva ökad kontroll över samtliga målperspektiv.

PwC

23 av37

(25)

Intern kontroll inom Divisionerna: Närsjukvll.rd, Länssjukvll.rd, Service och Länsteknik

6.5.3. Bedömning

Vår revisionella bedömning är att uppföljningen och utvärderingen inom Division Länssjukvård är delvis tillräcklig.

Vår bedömning baseras på att det inom divisionen sammanställs en utvärdering utifrån de internkontrollaktiviteter som genomförts under året. Sammanställningen överlämnas till regionstyrelsen vid årets slut.

J

Vår bedömning baseras vidare på att uppföljning av verksamheten sker utifrån regionens balanserade styrning. Vår granskning visar dock att enskilda chefer inom divisionen ser möjligheten till utvärdering och kontroll av erhållen uppföljningsdata kopplat till den ekonomiska utvecklingen som en brist. I sammanhanget bedömer vi inte att

uppföljningens omfattning och frekvens brister. Snarare är det enskilda chefers möjlighet till tolkning av underlaget som är begränsat.

Vi noterar att det pågår ett utvecklingsarbete för att stärka enskilda chefers ekonomiska kunskaper och därigenom förutsättningar till kontroll inom divisionen. Vår bedömning är att d etta arbete, om det fullt ut implementeras och tillämpas, lämnar goda förutsättningar att stärka områdets nu identifierade brister.

P wC

24av 37

(26)

7. Iakttagelser Division Service

7.1. Kontrollmiljö

7.t.i. Definition av begreppet

Kontrollmiljö är den omgivning som den interna styrningen och kontrollen verkar i och påverkas av. Detta kan vara riktlinjer, policies, organisationskulturen och ledningens I

styrning. Kontrollmiljön kan sägas vara fundamentet för den interna kontrollen. _ J

7.i.2. Iakttagelser

Vår granskning visar att det inom regionen pågår ett arbete med att implementera Region Norrbottens verksamhetsmodell (se avsnitt 4 .1 ovan). Arbetet syftar till att stärka såväl organisationskultur som ledningens styrning, ledning, uppföljning och kontroll.

Vår granskning visar att årliga medarbetarundersökningar genomförs där resultatet återförs via genomgång i verksamheterna samt genom medarbetarsamtal. Vår granskning visar att verksamheterna, på basis av medarbetarundersökningarnas resultat, upprättar handlingsplaner/ aktivitetslistor för att systematiskt arbeta med de förbättringsområden som visas i undersökningarna.

Vår granskning visar att introduktionsprogram såväl finns och tillämpas med checklistor vid genomgång av nyanställd personal och chefer. Inom divisionen har även interaktiva aktiviteter genomförts för att stärka det divisionsgemensamma värdegrundsarbetet. Vid våra intervjuer framhålls att detta arbete upplevs ha skapat en känsla av

koncerntillhörighet hos personalen i serviceverksamheterna.

Möjligheten att nå styrande dokument inom divisionen finns genom att det inom divisionen finns ett upprättat ledningssystem, där styrande dokument inom divisionen länkas till VIS. Vid våra intervjuer framhålls dock att utan detta ledningssystem skulle det vara betydligt svårare för divisionens personal att nå och arbeta med styrande dokument.

I sammanhanget noterar vi dock att centrala funktioner inom divisionen uppger vid våra intervjuer att VIS fungerar bättre än vad personalen längre ut i divisionens verksamheter gör. Vid våra intervjuer uppges att detta bedöms vara en effekt av att centrala funktioner oftare arbetar i dokumenthanteringssystemet, vilket uppges ha stärkt kunskaperna inom området. Vår granskning visar att divisionen var tidig med att implementera VIS genom ett pilotprojekt som genomfördes inom divisionen, vilket framhålls vara skäl till att främst centrala funktioner inom divisionen har goda kunskaper kring systemet.

Vär granskning visar att division service delvis är ISO-certifierad enligt ISO 9001:2015.

Vid våra intervjuer framhålls att certifieringen ställer krav på att det ska bedrivas ett systematiskt arbete för att stärka kunskaper om styrande dokument och rutiner. Inom divisionen förekommer en rad aktiviteter som vid våra intervjuer beskrivs vara en effekt av de krav som följer av divisionens ISO-certifiering.

I sammanhanget noterar vi det uppdrag regionstyrelsen gett regiondirektören för att utreda identifierade brister kring VIS (se avsnitt 4.2 ovan).

25 av 37

(27)

Intern kontroll inom Divisionerna: Närsjukvärd, länssjukvärd, Service och länsteknik

7.i.3. Bedömning

Vår revisionella bedömning är att kontrollmiljön inom Division Service är delvis I

tillräcklig . _ J

Vår bedömning baseras på att det inom divisionen finns goda förutsättningar för en välfungerande kontrollmiljö, inte minst med anledning av det pågående arbete med att implementera den i avsnitt 4 .1 beskrivna verksamhetsmodellen. Vi ser att det finns ett aktivt arbete med medarbetarundersökningar liksom tydliga rutiner för introduktion av såväl nyanställd personal som chefer. Vår bedömning är även att de

divisionsgemensamma aktiviteterna med värdegrundsarbete på ett positivt sätt bidragit till att stärka känslan av samhörighet inom divisionen.

Vi ser dock kritiskt på, och vår bedömning påverkas av, den rådande ordningen där verksamhetens verktyg för att nå styrande dokument, VIS, beskrivs ha brister. Samtidigt noterar vi att främst divisionens centrala funktioner upplevs ha en ökad kunskap kring hanteringen av informationssystemet. Tidig introduktion genom divisionens roll i pilotprojektet bedömer vi har bidragit till möjligheten att ha en stärkt kunskap kring hanteringen av VIS inom divisionen.

Vi noterar även att regionstyrelsen ålagt i uppdrag till regiondirektören att åtgärda identifierade brister som framkommit av tidigare granskningar. Vi ser positivt på denna åtgärd och bedömer att VIS, i ett läge där identifierade brister avhjälps, lämnar goda förutsättningar att stärka kontrollmiljön inom regionens verksamheter.

7.2. Riskbedömning

7.2 t. Definition av begreppet

Riskbedömning handlar om hur risker för verksamheten identifieras, värderas och hanteras. Det kant.ex. handla om omvärldsrisker, finansiella risker, legala risker samt verksamhetsrisker.

7.2.2 Iakttagelser

Vår granskning visar att riskbedömning sker kontinuerligt i divisionens verksamheter.

Vår granskning visar även att det inom divisionen genomförts en rad åtgärder för att stärka dokumentationsmöjligheten kring, och planeringen utifrån, uppkomna risker inom verksamheterna.

Vår granskning kan dock inte styrka att det finns någon dokumenterad eller på annat sätt tydliggjord risksammanställning utifrå n risk och konsekvens på övergripande nivå som ligger till grund för de internkontrollaktiviteter som sedermera tas fram inom divisionen.

De internkontrollaktiviteter som återfinns i divisionsplanen föregås således inte av en samlad bedömning av risk och konsekvens. Vår granskning visar även att styrelsen inte tagit del av något sådant underlag från divisionen.

Se avsnitt 4.3 gällande utvecklingsarbetet för modell kring riskbedömningar inom

regionen. Vid våra intervjuer framkommer att arbetet med att upprätta denna modell, för att inför 2018 dokumentera och analysera risker, pågår inom regionen.

Augusti 2017

Region Norrbotten

PwC

26 av 37

(28)

Intern kontroll inom Divisionerna: Närsjukvlird, Länssjukvlird, Service och Länsteknik

Bedömning

Vår revisionella bedömning är att riskbedömningen inom Division Service är otillräcklig.

Vår bedömning baseras på att det inom divisionen finns en process kopplat till kvalitetsbrister i verksamheten. Vår granskning har dock inte kunnat styrka att denna bedömning utgör underlag för de kontrollaktiviteter som fastställs för internkontroll inom divisionen, och som regionstyrelsen sedermera godkänner.

Vi har i vår granskning inte erhållit några revisionsbevis som kan styrka att det finns något annat dokumenterat, eller på annat sätt tydliggjort, underlag som ligger till grund för de kontrollaktiviteter som antas för divisionens internkontroll. Vår granskning kan härigenom inte styrka på vilka grunder antagna kontrollaktiviteter uppkommit, värderats eller fastställts.

I sammanhanget noterar vi dock att regionstyrelsen fattat beslut för att utveckla området avseende riskbedömningar. Vi ser positivt på denna åtgärd och bedömer dessutom att det risktänk som finns inom divisionen lämnar förutsättningar att på ett effektivt sätt

fastställa divisionens risker utifrån risk och konsekvens i ett läge där detta analyseras på divisionsgemensam nivå.

7.3. Kontrollmoment

7.3.i. Definition av begreppet

Kontrollmoment är de aktiviteter som utarbetas för att fel ska upptäckas, åtgärdas och även förebyggas.

7.3.2. Iakttagelser

Av divisionsplanen framgår att tre internkontrollaktiviteter är fastställda för år 2017, vilka är:

• Följsamhet till regelverket för sjukresor avseende specifika krav från patient (Beställningscentralen).

• Uppföljning av beslut från ledningens genomgång.

• Krav att åtgärdsbeskrivning finns i synergiärenden.

I vår granskning finner vi genom våra intervjuer att ovan nämnda aktiviteter rapporterats för upprättande av divisionsplan, samt därefter inhämtats för redovisning och

godkännande i regionstyrelsen.

Vår granskning visar att de kontrollmoment som omfattas av divisionens internkontrollplan inte föranletts av någon samlad riskbedömning (se ovan kontrollkomponent). Det är således otydligt hur och på vilka grunder aktiviteterna uppkommit. Däremot visar vår granskning att såväl internkontrollplanen som internkontrollaktiviteterna är kända i divisionen.

27av 37

(29)

7.3.3. Bedömning

1

Vår revisionella bedömning är att kontrollmomenten inom Division Service är tillräckliga.

Vår granskning visar att division service i sin divisionsplan anger minst två kontrollaktiviteter för år 2017, vilket är i enlighet med de krav som ställs i tillämpningsanvisningen för internkontroll. Vår granskning visar även att dessa upprättats och rapporterats i enlighet med fastställda rutiner.

Vår bedömning är även att det i allt väsentligt finns en tillräcklig kännedom kring de fastställda aktiviteterna inom divisionen.

7.4. Information och kommunikation

7.4.1. Definition av begreppet

Infor mation och kommunikation handlar om hur mål, policies, riktlinjer, risker, avvikelser och åtgärder kommuniceras i organisationen.

7.4.2. Iakttagelser

Vår granskning visar att det inom division service i stort finns en struktur för att säkerställa systematisk informationsgivning och kommunikation inom divisionen.

Information förmedlas löpande genom en rad differentierade aktiviteter, såsom arbetsplatsträffar, medarbetarsamtal, dagliga möten, veckomöten samt månadsmöten.

Detta uppges vid våra intervjuer skapa en god struktur för att kanalisera information på ett välfungerande sätt från över- till underställd organisationsnivå , samt omvänt.

Av granskningen framgår dock brister i och med den processorienterade matrisorganisationen som divisionen arbetar efter, vilket kan påverka

informationsgivningen och kommunikationen, samt i vidare led möjligheten till styrning och kontroll.

Vid våra intervjuer framkommer att chefer och medarbetare inom divisionen upplevt svårigheter att identifiera vem man skall vända sig till inom vissa frågor. Detta uppges ha föranlett att det uppstått frågor som ibland inte besvarats under längre perioder då beslutsfatta re inom frågeområdet varit otydligt. Under våra intervjuer har det

framkommit att dessa problem identifierats och lett till ett arbete med framtagande av ny organisationsstruktur, vilket föregås av en utredning som genomförts under våren 2 017.

7. 4.3. Bedömning

Vår revisionella bedömning är att informatione n och kommunikationen inom

Division Service, samt från Division Service till regionstyrelsen, är delvis tillräcklig. _]

Vår bedömning baseras på att det till stora delar finns en god struktur för information och kommunikation inom divisionen, samt en struktur för en fungerande kommunikation till överställd nivå.

Samtidigt ser vi, och vår bedömning påverkas av, den identifierade bristen där divisionens processorienterade matrisorganisation stundtals innebär problem för enskilda anställda

PwC

28av 37