www.nkrf.no » Kommunerevisoren.no » 2015 » Nr. 2

Søk

Forsidebilde:
Clarion Hotel & Congress
Oslo Airport, Gardermoen
Foto: Knut Erik Lie, NKRF

Klikk her for å laste ned en pdf-versjon av bladet

Last ned Kommunerevisoren
nr. 2/2015 i pdf-format »

Klikk her for en "blavennlig" versjon

Les Kommunerevisoren
nr. 2/2015 i "blavennlig" versjon »

NKRF
Munkedamsveien 3B
Postboks 1417 Vika
0115 Oslo

Tlf: +47 23 23 97 00

post@nkrf.no

Hopp over seksjon - Til hovedinnhold - Topp

Revisjon av virksomhetsstyring

Therese Johnsen, ekspedisjonssjef, Riksrevisjonen

Virksomhetsstyring omfatter det meste som skjer i en virksomhet. Det omfatter krav til myndighets- og ansvarsstrukturer, alle aktiviteter som inngår i styringsprosesser som planlegging, gjennomføring, oppfølging og intern kontroll.

For staten er disse kravene beskrevet i reglementet og bestemmelsene for økonomistyring. Dette reglementet bygger på prinsippene for mål- og resultatstyring, og det har vært under gradvis utvikling i flere ti år. For å skape større sikkerhet for at virksomhetene når sine vesentlige mål, er det i reglementet og bestemmelsene for økonomistyring for staten også tatt inn prinsipper om at risikostyring og intern kontroll skal integreres i mål- og resultatstyringen. Mål- og resultatstyringen er hovedprinsippet i den statlige virksomhetsstyringen.

Kjennetegn ved virksomhetsstyring

Prinsippet om mål- og resultatstyring står ikke like sterkt i reguleringen av den kommunale virksomhetsstyringen, men elementer av den er omtalt i kommuneloven og sektorlover som gjelder for kommunene. For kommunale virksomheter gjelder også at virksomhetsstyringen skal innrettes mot effektiv utnyttelse av ressursene og god internkontroll. Det er også stilt krav om styringsdokumenter som skal være til stede i styringen.

Virksomhetsstyringen skal kjennetegnes ved gode styringsprosesser tilpasset virksomhetens risiko og egenart. Risikostyringen skal gi større sikkerhet for at vesentlige mål nås gjennom å identifisere risiko og iverksette tiltak for å redusere denne.

Alle virksomheter skal etablere intern kontroll tilpasset risiko og vesentlighet. Intern kontroll omfatter de prosesser, systemer og rutiner som er etablert for å gi rimelig sikkerhet for god måloppnåelse, god kvalitet, effektiv drift, pålitelig rapportering og økonomiforvaltning og overholdelse av lover og regler.

Toppleder og andre ledere har et særlig ansvar for å fremme en internkultur som vektlegger kvalitet i alt arbeid som utføres i virksomheten. Dette gjøres gjennom strategiarbeid, kommunikasjon, arbeids- og ansvarsrutiner og beskrivelser, evalueringer og gode rutiner for tilbakemelding og læring.

Disse prinsippene og aktivitetene utgjør virksomhetsstyringen og bør inngå i virksomhetens styringshjul.

Få revisjoner hvor virksomhetsstyringen er saksforholdet

Riksrevisjonen har gjennomført få revisjoner hvor hovedtyngden i saksforholdet som revideres er virksomhetsstyring. Det kan være mange forklaringer på hvorfor det er slik. Alt fra manglende kompetanse hos revisor på helheten i virksomhetsstyringen, og derfor problemer med å identifisere risiko som gjelder hele virksomhetsstyringen, til manglende tradisjon for å revidere virksomhetsstyringen som et eget saksforhold. En tredje forklaring kan være revisjonens metoder for risikovurderinger. Oppmerksomheten har vært rettet mot sektormålene, hvor det kan være flere bidragsytere, og de mer tradisjonelle virkemidlene som tilskudd, lover, handlingsplaner og investeringer, og virksomhetsstyringens betydning for gode resultater og måloppnåelse har ikke blitt tilstrekkelig vektlagt av revisor.

Denne praksisen kan også henge sammen med at Riksrevisjonen rapporterer til Stortinget som er opptatt av de strategiske temaene som rettssikkerhet, overholdelse av lover og god samfunnsmessig måloppnåelse på ulike områder, mens det ligger mer i forvaltningens rolle "å holde orden i eget hus". Tilsvarende resonnement kan også gjelde på kommunenivå. Revisjonen rapporterer til kontrollutvalget som igjen lager en innstilling som behandles i kommunestyret. Det er imidlertid en sammenheng mellom profesjonaliteten i virksomhetsstyringen og virksomhetens bidrag til de samfunnsmessige målene, herunder effektiv ressursbruk, som revisor må være oppmerksom på. Virksomhetsstyring er også et kjerneområde for internrevisjoner, og det gjøres nå vurderinger i forvaltningen av hvorvidt denne funksjonen skal brukes mer systematisk.

Elementer av virksomhetsstyring inngår i mange revisjoner under lignende problemstillinger som: Hva kan forklare svakheter i resultatoppnåelsen? Dette var tilfelle i en nylig gjennomført undersøkelse av NAVs arbeidsrettede oppfølging av personer med nedsatt arbeidsevne. Her var problemstillingen: Hva kan forklare svakheter i brukerrettet oppfølging og manglende overgang til arbeid? Riksrevisjonen konkluderte med at det var svak styring av kvaliteten i oppfølgingsarbeidet ved NAV-kontorene. For eksempel hadde ingen av de undersøkte kontorene gjennomført kvalitetskontroller av de aktivitetsplaner som er en del av oppfølgingsarbeidet. Denne revisjonen kan bidra til at NAV forsøker å forbedre elementer i virksomhetsstyringen, men den gir ikke innspill til en mer helhetlig vurdering av virksomhetsstyringen i NAV. Ulike mangler i virksomhetsstyringen kan bli brukt som en forklaring på svake resultater uten at revisor er 100 prosent sikker på årsakssammenhengen. Mange revisjoner, for eksempel om saksforhold vedrørende anskaffelser eller gjennomføring av gevinstrealiseringer ved investeringer, viser ofte fravær av god internkontroll og risikostyring.

Risikovurdering av virksomhetsstyring

For revisor er et aktuelt spørsmål: Hvilke forhold er kjennetegn på svak virksomhetsstyring og utgjør dermed risiko for at den ikke sikrer at virksomheten gjennomfører oppgavene effektivt og når sine mål? Uten å påstå å være uttømmende, mener jeg følgende forhold kan gi indikasjoner på svak virksomhetsstyring: Mange og skiftende mål, svak måloppnåelse over tid, liten konsistens mellom mål og rapportering, liten opplevd nytte av styringsinformasjonen internt i virksomheten, manglende risikostyring og svak internkontroll. Hver for seg blir ikke disse svakhetene vurdert til å representere tilstrekkelig risiko til å starte en helhetlig revisjon av virksomhetsstyringen., men hvis revisor har indikasjoner på svakheter ved virksomhetsstyringen, må flere elementer ved virksomhetsstyringen kartlegges. Det vil gi revisor et bredere grunnlag til å vurdere risiko ved virksomhetsstyringen og behovet for og nytten av å gjennomføre en revisjon hvor virksomhetsstyringen utgjør saksforholdet.

Vesentlighet er også en utfordring ved risikovurdering av en virksomhet. Vesentligheten skal blant annet vurderes ut fra hvilken betydning virksomheten har, og om forbedringer i virksomhetsstyringen vil påvirke virksomhetens resultater positivt.

Som tidligere nevnt har Riksrevisjonen gjennomført få revisjoner hvor virksomhetsstyringen har vært hovedproblemstillingen i saksforholdet. Vi gjennomførte en slik revisjon av Helsedirektoratet i 2013. I denne revisjonen var målet å vurdere helheten i virksomhetsstyringen. Helsedirektoratet har stor vesentlighet, da det er en stor organisasjon som legger premisser for tjenesteutforming innenfor helsesektoren.

Den finansielle revisjonen hadde gjennom flere år tatt opp mangler ved regnskapsføringen, budsjetteringen, tilskuddsforvaltningen og saksbehandlingstidene. Det var godt dokumentert risiko som utløste denne revisjonen hvor virksomhetsstyringen var saksforholdet sammen med departementets etatsstyring av direktoratet.

Et annet eksempel er revisjonen av Bufetat som Riksrevisjonen gjennomførte i 2008. Også den etaten har stor vesentlighet, særlig fordi den har viktige oppgaver knyttet til barn og unge i vanskelige livssituasjoner. Tidligere regnskapsrevisjoner hadde vist at det ikke var etablert gode systemer og rutiner for intern styring, og at det var vesentlige feil og mangler i etatens etterlevelse av sentrale statlige regelverk. Samtidig var måloppnåelsen svak på flere områder. I denne revisjonen var virksomhetsstyringen saksforholdet sammen med en vurdering av etatens resultater og departementets etatsstyring.

Eksemplene over illustrerer at erfaringer fra tidligere revisjoner kan gi viktige innspill til risikovurderingene. Revisor får også ofte innspill til risikovurderinger av virksomhetsstyring fra virksomhetens interne styringsdokumenter, virksomhetsstatistikk og eksterne evalueringer, i noen tilfeller også fra intervju med ansatte i virksomheten, samarbeidende virksomheter eller brukere/brukergrupper. Det er først og fremst de interne dokumentene og intervjuene som vil synliggjøre om manglende resultater kan knyttes til svakheter i virksomhetsstyringen. Det er som regel gjennom intervju at revisor får innblikk i problemer knyttet til virksomhetskulturen, kontrollmiljøet og internkontrollen, for eksempel mangelfull informasjon om vesentlige oppgaver hos virksomhetens ledelse.

Revisjonskriterier for virksomhetsstyring

For statlige virksomheter har vi et godt grunnlag for å utlede revisjonskriterier. Økonomireglementet, Bestemmelser om økonomistyring i staten, Bevilgningsreglementet og forvaltningsloven er gode kilder. Som grunnleggende styringsprinsipper gjelder at det skal fastsettes mål- og resultatkrav. Videre skal virksomheten drives i tråd med gjeldende lover og regler, herunder krav til god forvaltningsskikk, habilitet og etisk atferd.

Statlige virksomheter skal etablere systemer og rutiner som har innebygd intern kontroll, blant annet for å sikre at ressursbruken er effektiv. Videre har virksomhetens ledelse ansvar for å påse at styringen og internkontrollen er tilpasset virksomhetens risiko og egenart.

Virksomhetsstyringen skal være innrettet slik at den gir tilstrekkelig styringsinformasjon til å følge opp aktivitetene og resultatene.

Virksomhetsstyringen skal være innrettet slik at den gir tilstrekkelig styringsinformasjon til å følge opp aktivitetene og resultatene. Informasjon fra virksomhetens økonomisystem skal sammen med statistikk, analyser, evalueringer og andre relevante systemer kunne belyse om virksomheten drives effektivt når det gjelder kostnader og fastsatte mål- og resultatkrav. Ledelsen har også et ansvar for å prioritere innenfor eget ansvarsområde.

Ifølge Bevilgningsreglementet skal utgiftsbevilgningene disponeres slik at ressursbruk og virkemidler er effektive i forhold til de forutsatte resultatmålene. Og det er virksomhetsleders ansvar å sikre at nødvendige rutiner og systemer er på plass, at ansvar og myndighet er forstått og at planer og mål følges opp.

Gjennomføring av en revisjon av virksomhetsstyring

En revisjon av virksomhetsstyring krever i likhet med revisjon av andre saksforhold god planlegging og en metodisk tilnærming som tar høyde for den antatte risikoen. En revisjon av virksomhetsstyring kan bli svært omfattende. Virksomheten kan ha problemer med å oppfylle målkravene, styringsinformasjonen kan mangle eller være mindre relevant, og det kan være usikkert om virksomheten har effektiv drift. Revisjon av virksomhetsstyring innebærer både en resultatorientert, en systemorientert og en problemorientert tilnærming. Som regel krever revisjonen at man har en metodisk tilnærming hvor systemet vurderes fra flere nivåer i organisasjonen, både et top-down og et bottom-up perspektiv.

Revisjon av virksomhetsstyring innebærer både en resultatorientert, en systemorientert og en problemorientert tilnærming.

Virksomhetsstyring innebærer at det skal være etablert et system for å styre både på kort og lang sikt. Det betyr at virksomheten bør ha mål som er rettet mot effektene av tjenesten eller produksjonen, men den må også ha informasjon som forteller hvordan det går i det daglige arbeidet. For eksempel: Når virksomheten saksbehandlingstidene, og har den effektive arbeidsprosesser? Har den rutiner for å følge opp at arbeidsprosessene er effektive, og er det en systematisk læring i organisasjonen som sikrer kontinuerlige forbedringer? Har virksomheten systemer som sikrer at ressurser omfordeles dersom uforutsette hendelser skulle oppstå? Revisjonen må vurdere om virksomheten har en balansert styring hvor sammenhengen mellom de kortsiktige og de langsiktige målene er ivaretatt. Virksomheter med mange styringskrav må som regel bruke mer ressurser på styringen.

Revisjonen må også sjekke ut at virksomheten kan begrunne hvorfor den har valgt det styringssystemet og de rutinene den har. Styringssystemet skal være tilpasset virksomhetens egenart og risiko, og så er det opp til revisjonen å vurdere om styringssystemet er tilstrekkelig ut fra revisjonskriteriene. Ikke minst er det også viktig at informasjon fra styringssystemet brukes til å forbedre arbeidsprosessene og måloppnåelsen.

Siden en revisjon av virksomhetsstyring fort kan bli meget omfattende, må revisor ofte erkjenne at man ikke rekker å se på alt. Det er derfor nødvendig å velge ut områder, organisatoriske enheter og/eller aktiviteter som skal studeres nærmere i revisjonen. I tillegg til å gjøre et utvalg blant virksomhetens primæroppgaver, må man også se på om administrative støttefunksjoner understøtter en effektiv oppgaveløsning. Det er viktig at revisjonen velger ut områder som hver for seg og samlet er vesentlige for virksomheten. Ved å gjøre dette er det på vesentlige områder mulig å undersøke om styringen er tilpasset områdets risiko og egenart og om etatens virksomhetsstyring samlet sett ivaretar de krav som stilles til gode styringsprosesser og god intern kontroll. Med et godt metodisk design kan revisor med rimelig sikkerhet si noe om hvorvidt virksomheten har effektiv drift, om kvaliteten i oppgaveløsningen overvåkes og om virksomheten har rutiner og kultur som bidrar til læring og utvikling.

Jeg tror at gode og mer helhetlige revisjoner av virksomhetsstyringen vil kunne være nyttige innspill til forbedringer i den enkelte virksomhet.

Mange virksomheter har på plass elementer i virksomhetsstyringen, men elementene henger ikke alltid godt nok sammen. For eksempel ser vi ofte at styringsinformasjon ikke blir brukt til læring, eller at virksomheten har større ambisjoner når det gjelder hva den ønsker å styre på enn hva den har kapasitet til å gjennomføre. Jeg tror at gode og mer helhetlige revisjoner av virksomhetsstyringen vil kunne være nyttige innspill til forbedringer i den enkelte virksomhet.


Kommunerevisoren nr. 2/2015 - 70. årg.

Til toppen av siden

Topp