Internkontroll i etatsstyringen

Departementene skal sikre seg at underliggende virksomheter har tilfredsstillende internkontroll slik at fastsatte mål og resultatkrav blir fulgt opp, ressursbruken er effektiv og virksomheten overholder lover og regler. Internkontroll er en integrert del av lederansvaret i underliggende virksomhet. 

Departementet bør utøve overordnet kontroll

Ønskede effekter for brukere og samfunn er det viktigste resultatnivået i mål- og resultatstyringen, men departementet må følge opp at virksomheten også har god kontroll med innsatsfaktorer, aktiviteter/prosesser og produkter/tjenester, fordi dette er en viktig forutsetning for å oppnå de ønskede effektene. I samspillet mellom departement og underliggende virksomhet er det viktig å avklare hvem som skal ha kontroll på de ulike delene (leddene) i resultatkjeden. I økonomiregelverket, reglementet § 4 fremkommer det at det skal være en arbeidsdeling mellom departementet og underliggende virksomhet. Å ha overordnet kontroll for et departement betyr at rolledelingen mellom virksomheten og departementet tar utgangspunkt i at:

Virksomheten skal

• ha kontroll på leddene til venstre i resultatkjeden, det vil si innsatsfaktorer, aktiviteter/prosesser og produkter/tjenester
• følge opp om virksomheten oppnår ønskede effekter. For eksempel ved å følge med på tilstandsutviklingen hos målgruppen(e) og sannsynliggjøre at endringer hos målgruppen(e) har sammenheng med de leveransene som virksomheten har tilbudt
• følge opp fastsatte mål og resultatkrav, sørge for at ressursbruken er effektiv og at virksomheten har pålitelig rapportering og overholder lover og regler

Departementet skal

• konsentrere seg om bruker- og samfunnseffekter og sammenhengen mellom oppnådde effekter og tilbudte produkter/tjenester
• ha et overordnet og strategisk perspektiv
• sikre seg  at underliggende virksomheter selv tar ansvar og følger opp fastsatte mål- og resultatkrav, har effektiv ressursbruk, pålitelig rapportering og overholder lover og regler

Rolledelingen må tilpasses hvert enkelt tilfelle. Hvis egenart, risiko og vesentlighet tilsier det, kan departementet ut fra sitt kontrollansvar også ha behov for å følge med på innsatsfaktorer, aktiviteter/prosesser eller produkter/tjenester. I så fall er det viktig at både departement og virksomhet har en bevisst og felles forståelse av hvorfor dette er nødvendig. Rolledelingen kan dere som departement tydeliggjøre gjennom å klargjøre virksomhetens rolle og ansvar i instruksen. I tillegg må dere sørge for at virksomheten gjør en egen vurdering av internkontrollen og at diskusjoner om internkontroll på en systematisk måte inngår som del av styringsdialogen. Gjennom en felles forståelse for roller og ansvar, samt en god dialog om internkontroll i styringsdialogen, ligger det til rette for at departementet kan utøve overordnet kontroll.

Figuren under illustrerer rolledelingen. Departementet har det formelle ansvaret for hele sektoren og bør i etatsstyringen ha særlig oppmerksomhet på bruker- og samfunnseffekter og sammenhengen mellom hva virksomheten leverer og oppnådde effekter. Virksomheten tar ansvar for helheten og sammenhengen mellom det som blir gjort og levert i form av produkter og tjenester, og det som blir oppnådd av effekter hos målgruppen. Denne rolledelingen i styringen forutsetter at departementet må ha tilstrekkelig innsikt i virksomhetens internkontroll og trygghet for at den fungerer, slik at de faktisk kan utøve et overordnet kontrollansvar.

Departementet bør utøve kontroll på systemnivå

Departementet bør utøve kontroll på systemnivå. Det betyr for internkontrollen å påse at det er etablert hensiktsmessig systemer og strukturer for internkontroll i virksomheten, heller enn å stille konkrete krav til tiltak og kontrollaktiviteter.

Det betyr at dere som departement:

• klargjør virksomhetens rolle og ansvar, og  hva som er forventet av virksomhetens internkontroll
• får bekreftelse på at virksomheten har etablert et internkontrollsystem og en orientering om hva dette består av sett i forhold til det risikobildet og  den risikotoleransen dere er enig om
• får bekreftelse på at internkontrollsystemet fungerer som tiltenkt, det vil si om feil og svakheter blir forhindret eller oppdaget i tide

En viktig forutsetning for å få til dette er å ha en god dialog for å sikre at departementet og virksomheten har en felles forståelse for risikobildet, tilhørende risikotoleranse, kost/nytte-perspektiv på hva som er en tilfredsstillende internkontroll i forhold til det målbildet dere er blitt enige om og dialog om tilstanden på virksomhetens internkontroll. En annen viktig forutsetning er at departementet har god kompetanse om virksomhetens drift, samt har egne interne systemer og rutiner slik at underliggende virksomheter kan bli fulgt opp på forsvarlig vis. Les mer om risikostyring i etatsstyringen her.

Dersom risiko og vesentlighet tilsier det, eller departementet ikke har tilstrekkelig trygghet for at virksomheten ivaretar sitt ansvar for internkontroll på en god måte, kan departementet ha behov for å be om redegjørelse om internkontrollen på enkeltområder eller til og med stille konkrete krav til tiltak eller kontrollaktiviteter. 

Virksomheten har et selvstendig ansvar for å innrette internkontrollen ut fra risiko, vesentlighet og egenart. Det betyr at virksomheten selv skal ta ansvar for å etablere et hensiktsmessig internkontrollsystem, og selv gjøre begrunnede valg for innretningen av og innholdet i dette systemet, og hvordan det skal følges opp og utvikles. Vær oppmerksomme på at jo mer detaljerte krav dere som departement stiller til spesifikke rutiner, systemer, tiltak eller kontrollaktiviteter, jo mer tar dere over ansvaret for internkontrollen hos virksomheten, og jo mindre blir virksomheten selv ansvarliggjort for egen internkontroll. Dersom virksomheten ikke får handlingsrom til å gjøre egne valg og prioriteringer i sitt arbeid for å sørge for god internkontroll, er det også fare for at virksomheten mister motivasjon og eierskap til egen internkontroll.

Kontroll på systemnivå er effektivt

Det er mer effektivt for departementet å kunne påse at virksomheten har etablert gode systemer og strukturer, heller enn å følge opp og be om redegjørelse og rapportering på enkeltelementer som kan være både tid- og kostnadskrevende. Dette kan eksempelvis gjelde å påse at virksomheten har etablert kvalitetssystem eller sikkerhet- og beredskapssystem. Et annet eksempel kan være kontroll med prosjekter dersom virksomheten organiserer mye av din drift i prosjekter. Departementet bør eksempelvis påse at virksomheten har etablert et godt system for prosjekt- eller porteføljestyring inkludert gevinstrealisering, motta en orientering om systemet og en bekreftelse på at systemet fungerer som tiltenkt, heller enn å be om en rapportering på kontroll med enkeltprosjekter. Det er dette systemperspektivet som bør være deres innfallsvinkel som del av det å utøve overordnet kontrollansvar.

Det kan i lys av egenart, risiko og vesentlighet være nødvendig å stille mer detaljerte krav til innretning av internkontrollsystemet og innholdet i dette, og ha en mer detaljert kontroll på enkeltområder. For eksempel dersom virksomhetens egenart tilsier at virksomheten har store og komplekse IKT-prosjekter eller byggeprosjekter, blir omfattet av nye eller komplekse regelverk, får nye produkter/tjenester eller er i en større omorganisering som kan påvirke leveransene. For utviklingsprosjekter som er et resultat av satsinger med krav til rapportering til Stortinget, vil trolig departementet alltid måtte følge opp på enkeltprosjekter, ettersom disse prosjektene ofte har høyere risiko og vesentlighet og ikke er en del av virksomhetens ordinære drift. Det er i slike situasjoner viktig at begge parter har et bevisst forhold til hvorfor det er behov for strammere oppfølging og rapportering, og at de detaljerte kravene opphører når virksomheten er tilbake i en normalsituasjon med lavere risiko og vesentlighet på de aktuelle områdene.

Hva er passe dose tillit og kontroll?

Det er større mulighet for å utøve overordnet kontroll og kontroll på systemnivå, dersom dere har tillit til at virksomheten har en god internkontroll. Denne tilliten kan dere som departement styrke dersom dere har god innsikt i og forståelse for virksomhetens kompleksitet og egenart og god kjennskap til opplegget for internkontroll. Videre at dere og virksomheten har en felles forståelse for risikotoleranser og god informasjon og kommunikasjon om vesentlige svakheter og avvik. Når det eksisterer en felles oppfatning av betydningen av god internkontroll og virksomhetens ledelse viser at den har forstått sin rolle og sitt ansvar for internkontroll, jf. bestemmelsene punkt 2.4, og det er en felles forståelse for etatsstyrer sin rolle og sitt ansvar, jf. bestemmelsene punkt 1.3, gir dette grunnlag for tillit. Tillit blir utviklet og vedlikeholdt i styringsdialogen.

Det er mange forhold som påvirker hva som er passe «dose» tillit og kontroll. Det vil avhenge av både av den enkelte relasjon og situasjonen. Det er nærmest umulig å gi en universell fasit, derfor nøyer vi oss med å liste noen viktige forhold som kan inngå i styringsdialogen. Like viktig som å stille spørsmålene, er det å få innsikt i hva som er forutsetningene og begrunnelsen for de svarene dere får på spørsmålene dere stiller. Listen er ikke uttømmende.

• Har virksomheten et opplegg for å identifisere, vurdere, håndtere og følge opp risiko
  • på virksomhetsnivå (overordnede mål knyttet til effekter)?  
  • på lavere ledernivå (på produkt- og tjenestenivå og på vesentlige områder, aktiviteter og prosesser)?
• Har virksomheten sørget for å gjøre det tydelig hvem som har ansvaret for hva på vesentlige og risikoutsatte områder, og hvordan risikoutsatte og vesentlige oppgaver skal bli gjennomført?
• Har virksomheten systemer og strukturer for oppfølging av om internkontrollen fungerer som tiltenkt og om den blir etterlevd? Eksempelvis hva slags løpende oppfølging og mer frittstående oppfølging har virksomheten, eksempelvis i form av bruk av evalueringer og bruk av internrevisjon mv.  
• Har virksomheten systemer og strukturer som gjør det mulig å måle og følge opp om ressursbruken er effektiv?
• Har virksomheten systemer og strukturer som sørger for at resultatene fra oppfølgingen blir brukt til læring og forbedring? 
• Er det etablert et hensiktsmessig opplegg for informasjon og kommunikasjon som er tilpasset virksomhetens organisering og behov? 
• Har virksomheten en kultur og holdninger som gjenspeiler fastsatte etiske verdier? Hvordan blir det fulgt opp?
• Fanger virksomhetens etablerte styrings- og kontrollsystemer opp feil og mangler før virksomheten blir gjort oppmerksom på feil og mangler etter eksterne gjennomganger (Riksrevisjonen, tilsyn og lignende)?

Som overordnet departement bør dere ha en dialog om disse forholdene og skaffe dere en forståelse for hva som er grunnlaget for at virksomheten kan si at de oppnår fastsatte mål og resultatkrav, har en effektiv ressursbruk og overholder lover og regler mv. Med andre ord, hvilke systemer og strukturer har virksomheten på plass for å sikre god internkontroll og hvordan vet vi at det fungerer? Basert på en slik systematisk og åpen dialog, kan dere som departement gjøre dere opp en mening om i hvilken grad virksomheten har en god internkontroll og hva som er passe «dose» tillit og kontroll.

Hvordan kan departementet ivareta overordnet ansvar for internkontroll i styringsdialogen?

Kontrollansvaret kommer til uttrykk i styringsdialogen. Styringsdialogen består av de formelle skriftlige styringsdokumentene som er instruks, tildelingsbrev og tillegg til tildelingsbrev, årsrapport og eventuelle andre rapporter, samt etatsstyringsmøtene. Hvordan krav og føringer til virksomhetens internkontroll blir formulert i disse skriftlige styringsdokumentene, eksempelvis hvilke krav dere stiller til rapporteringen i del IV om styring og kontroll i årsrapporten til virksomheten, påvirker hvor overordnet ansvar dere som departement blir oppfattet å ta. 

Dere vil som departement også ha en fagdialog med virksomhetene dere styrer. Det er viktig å tenke igjennom hvilken rolle departementet har i henholdsvis styringsdialogen og i fagdialogen. Innretningen og kommunikasjonen i fagdialogen mellom departement og virksomhet kan også påvirke hvor overordnet kontrollansvar departementet blir oppfattet å ta. God rolleforståelse og kompetanse hos departementsmedarbeidere som er involvert i både fag- og styringsdialogen, er derfor viktig for å sikre at fagdialogen ikke blir oppfattet som styring og vice versa. Styringsdialogen skal være dokumentert, jf. krav i bestemmelser om økonomistyring i staten punkt 1.4.

I tabellen under har vi oppsummert og gitt noen eksempler på hvordan departementets overordnet ansvar for internkontroll kan komme til uttrykk i styringsdialogen.