Internkontroll i kommuner Temadag Grong 30.11.11 Verdal 01.12.11 KomRev Trøndelag IKS

COSOs definisjon av ”internal control” Internkontroll er en prosess: • igangsatt og gjennomført av virksomhetens styre, ledelse og ansatte • utformet for å gi rimelig grad av sikkerhet for måloppnåelse innen områdene − pålitelig intern og ekstern rapportering − målrettet, effektiv og hensiktsmessig drift − etterlevelse av lover og regler samt interne retningslinjer

Oppbygning av et moderne IK-system ”Alle” legger COSOs definisjon til grunn Overordnet IK IK på sektor/tjeneste R4 : risikoanalyse, rutiner, rapportering, revisjon (oppdatering). Overordnet: IK knyttet til sektorovergripende forhold – HMS, Personal osv Sammenstilling av rapportering far IK-arbeidet – ”Gjør vi de rette tingene, gjøres de riktig?” -Følges regelverket -Oppfyller vi kvalitetskravene -Har vi styring?

Overordnet IK - system Innhold: Ligge hos rådmannen/rådmannens stab Styringsdel – mål for IK, ansvar og organisering av IK-arbeidet Sektorovergripende IK: HMS, Personal Sammenstilt rapportering – på viktige resultatområder Etiske retningslinjer Innkjøpsregelverk Ligge hos rådmannen/rådmannens stab Org.enheter: Internrevisjon, Controller, Innkjøpsteam (felles infrastruktur)

Definér hva internkontroll er i deres virksomhet! Selve prosessen for å etablere internkontroll er viktig • Bevissthet og forankring • Rammeverkene gir stor frihetsgrad • Men noen hovedprinsipper må følges

Coso-modellen gir noen knagger

Kontrollmiljø • Integritet og etiske verdier • Myndighets- og ansvarsfordeling • Kompetanse og kapasitet • Ledelsens filosofi • Organisasjonsstruktur

Risikovurderinger • Etablere målsettinger • Risikoanalyser (konsekvens og sannsynlighet) • Grunnlag for tiltak

Kontrollaktiviteter • Rutiner og retningslinjer • Basert på risiko og kost/nytte • Analyser • Fysiske kontroller • Arbeidsdeling etc. • Forebyggende og avdekkende • Applikasjonskontroller

Informasjon og kommunikasjon • Form og innhold (intranett, håndbøker etc.) • Rapportering om drift og økonomi • Informasjonssystemer • Riktig informasjon til rett person til rett tid

Overvåking • Kontroll med etterlevelse • Evaluering av internkontroll • Tiltak for å forbedre svakheter • Internrevisjon

Kommunikasjon og informasjon er en kontinuerlig pågående toveis prosess

Viktige punkter for gjennomføring 1. Risikovurderinger grunnlag for styrings- og kontrollaktiviteter 2. Tydelige roller og ansvar 3. Ledelsesforankring 4. Helhetlig og systematisk tilnærming 5. Se til andre kommuner og virksomheter 6. IK er en levende prosess, krever utvikling og vedlikehold 7. Kommunisér/synliggjør arbeidet 8. Kompetanse må prioriteres 9. Prosesskartlegging/-tilnærming er effektivt

IK – på sektornivå IK/Kvalitet – Økonomi og regnskap, Helse og omsorg, Skole osv. Kvalitetssystemer Saksbehandlingssystemer – sjekklister/rutiner Kvalitetsgrupper/kvalitetssirkler Systemer for avviksrapportering

IK - risikoanalyse Kartlegge og analysere risikoområder Vurdere årsaker og sannsynligheter Vurdere konsekvenser Systematisere og prioritere risikoforhold Risikoanalyse: Hva er risiko? Sannsynlighet X konsekvens Hva kan skje, hva er sannsynligheten for at en hendelse inntreffer, hva er konsekvensen Kontrollutvalg: Pålagt å leger en ”Plan for forvaltningsrevisjon revisjon” basert på risiko- og vesentlighetsvurderinger, med sikte på å identifisere behovet for forvaltningsrevisjon på de ulike sektorer og virksomheter. Strategier for å forebygge/redusere risiko - akseptere risikoen – hva er vi nødt til/villige til å leve med (kostnad) - dele risiko med andre - redusere risikoen gjennom konkrete tiltak, bedre styring og intern kontroll - fjerne årsaken til risikoen – gjennom tiltak Forebyggende og begrensende tiltak

Risikoanalyse forts. Få kommuner gjennomfører grundige analyser usystematisk og udokumentert fare for ”hull” Viktig grunnlag for betryggende kontroll Kjenne risiko Grunnlag for prioritering Kommunene er pålagt å gjennomføre ROS analyser (Risiko og sårbarhetsanalyser) I sammenheng med kommunal beredskapsarbeid – mye fokus på håndtering av ”krig og katastrofer” Lengt færre kommuner gjør systematiske risikovurderinger av den ”ordnære driften” – men det er tross alt da de fleste hendelsene skjer. -I kommunen foregår det mye risikovurdering og håndtering, men mye skjer intuitivt, usystematisk og udokumentert. Risiskoanalyse – viktig grunnleg for betryggende kontroll

Modenhetsnivå i internkontroll Modellen viser nivåer av modenhet for en virksomhets internkontroll. Hvis virksomheten styrker sin internkontroll vil de bevege seg oppover i modellen.

Rutiner Beskrivelse av IK –systemet Beskrive tjenestekrav – hva er standarden Beskrivelse av konkrete arbeidsprosesser Krav og opplegg for rapportering Beskrivelser av hvordan IK skal gjennomføres

Rapportering Avviksrapportering Økonomi Kvalitet Balansert målstyring Viktig at avvik sammenstilles og analyseres i forhold til risikobildet Trender Systematiske avvik

Hvordan jobbe videre? Mer systemtenkning i kommunene Binde sammen det som allerede eksisterer Kvalitetssystemer kan ivareta mye IK