Styring og kontroll i verksemda
Verksemdsstyring omfattar strategi, styring, leiing og kontroll. Styrande dokument som hovudinstruks, verksemdsstrategien til direktoratet, mål i tildelingsbrev, den definerte endringsagendaen til direktoratet og årlege verksemdsplanar, er grunnlaget for styring og kontroll.
Direktoratet har etablert prosessar for planlegging, gjennomføring og oppfølging av mål og resultatkrav gitt i dei styrande dokumenta. Verksemdsstyringa blir følgt opp gjennom tertialvis rapportering, og dessutan via gjennomgangen til leiinga av sikkerheit og personvern i byrjinga av det etterfølgjande året. Risikostyring blir gjennomført på ulike nivå, og dessutan i porteføljen i direktoratet. Det har vore gjennomført ei overordna risikovurdering på verksemdsnivå. Det er fastsett at ein skal jobbe med å vidareutvikle den heilskaplege risikostyringa i verksemda i 2022. Dette arbeidet vil ha prioritet.
Internkontrollen til direktoratet er basert på fire forsvarslinjer der førstelinje eig og handterer risiko og utfører daglege kontrollhandlingar for å redusere risiko. Andrelinje utformar kontrollhandlingar i bl.a. styrande dokument og følgjer opp etterlevinga. Tredjelinje skal gi ei uavhengig stadfesting på utforming og etterleving og bidra til forbetringar. Tredjelinje blir utført av vår internrevisjon. Fjerdelinje blir utført av Riksrevisjonen og andre relevante tilsynsstyresmakter.
I andre forsvarslinje har det vore gjennomført internkontroll blant anna av innkjøpsområdet, personvern og sikkerheitsområdet i 2021. Ved oppstarten av 2022 går det føre seg internkontroll av HMS, arkiv-området og innkjøp.
I tredje forsvarslinje har direktoratet ein etablert internrevisjon. Internrevisjon gir ei vurdering av styring og kontroll basert på observasjonar i samtalar med leiargruppe, tilsette, eiga risikovurdering, revisjonar som går føre seg, og i den løpande informasjonen dei har tilgang til (som etterspurde dokument, leiarmøte og offentleg tilgjengeleg informasjon). IIA-standardane blir lagt til grunn i arbeidet til internrevisjonen.
Internrevisjonen har for 2021 utarbeidd ein risikobasert revisjonsplan. Årsplanen blir vurdert og revidert kvartalsvis. Det vart gjennom året gjort justeringar på planen og ein revisjon vart utsett til gjennomføring i 2022. Denne revisjonen vart erstatta med ein ny. Alle observasjonar frå revisjonane er presentert, drøfta og forankra med revidert eining og leiargruppa. Innkjøpsområdet er revidert av internrevisor. I tillegg har det vore gjennomført ein sikkerheitsrevisjon av ny arkivløysing. Arbeidet med å revidere risikostyring i program og prosjekt starta i slutten av 2022.
Vurderinga til internrevisoren er at Direktoratet for e-helse er bevisst på kva risikoar som er viktige å handtere, og er villig til å gjere prioriteringar og endringar i organisasjonen for å følgje opp desse. Internrevisor har ikkje opplevd at leiinga har akseptert eit nivå av risiko som er høgare enn det internrevisor vurderer som forsvarleg. Det har gjennom året vore ein god løpande dialog og faste møte mellom direktoratet og internrevisor. Internrevisor er informert løpande om forhold som kan påverke risikobildet, i tillegg til intern styring og kontroll.
Observasjonar og tilrådingar internrevisjonen har presentert i rapportar blir følgt opp på ein tilfredsstillande måte. Etter vurderinga til internrevisor, er direktoratet bevisst på viktigheita av å ha en god kontrollkultur og arbeider aktivt med kontinuerleg forbetring av denne.
I det vidare blir det gjort greie for styring og kontroll på utvalde område i direktoratet.
Porteføljestyring
Direktoratet for e-helse forvaltar store nasjonale digitaliseringssatsingar på vegner av Helse- og omsorgsdepartementet, og organiserer gjennomføringa i program og prosjekt. Desse programma og prosjekta inngår i ei heilskapleg porteføljestyring som er ein viktig del av verksemdsstyringa til direktoratet. Porteføljestyringa følgjer opp alle prosjekt og program på tid, kost, kvalitet, nytte og risiko, og sikrar ei heilskapleg og tverrfagleg tilnærming der økonomi, juss, helsefag og arkitekturstyring inngår. Med dette som utgangspunkt utarbeider porteføljekontoret jamleg ein statusrapport med tilrådingar til tiltak som blir behandla av porteføljestyret. Igangsetjing av tiltak og faseovergangar i program/prosjekt blir følgt opp av porteføljekontoret og blir vedtekne av porteføljestyret. Porteføljestyret er sett saman av den øvste leiargruppa i direktoratet, og dessutan program- og prosjekteigarar. Porteføljekontoret har ein kvalitetssikringsfunksjon til program og prosjekt samtidig som dei støttar og rettleier programleiinga med felles metodikk og verktøy.
Dei største programma i den interne porteføljen til direktoratet var i 2021 Helsedataprogrammet, Program digital samhandling, Program pasientens legemiddelliste, Program kodeverk og terminologi og MF Helse. Som ein del av den formelle styringsdialogen har programma i 2021 rapportert status til etatsstyringsmøta til Helse- omsorgsdepartementet. I styringsdialogen gjer direktoratet blant anna greie for kva tiltak som bør følgjast opp av departementet, og kva direktoratet sjølv følgjer opp. Frå 2022 vil rapporteringa bli gjort i eigne program- og prosjektrapporteringsmøte i Helse- og omsorgsdepartementet i forkant av etatsstyringsmøta.
Direktoratet jobbar løpande med å profesjonalisere porteføljestyringa si, følgjande er eksempel på forbetring av den interne porteføljestyringa i 2021:
- Det er sett i gang arbeid med overordna risikostyring på program- og porteføljenivå. Dette vil bli vidareutvikla.
- Det er sett i gang arbeid med å vidareutvikle nyttestyring som del av prosjektmetodikken i alle fasar av eit prosjekt eller program.
- Det er sett i gang arbeid med å inkludere nye tidleg-fasetiltak i porteføljen til direktoratet. Dette for å bidra til at direktoratet har ein meir balansert portefølje når dagens program og prosjekt etter kvart blir ferdigstilte, og at utgreiingsmetodikk blir etterlevd.
Direktoratet har i 2021 styrkt bemanninga innanfor porteføljekontor og program- og prosjektleiarar, for å sikre fokus på intern kompetansebygging, erstatte konsulent-innleige og profesjonalisering.
Sikkerheit, personvern og beredskap
Direktoratet etablerte i 2020 eit nytt styringssystem for sikkerheit og personvern. I 2021 er det jobba vidare med styrande dokument og operasjonalisering. Personvernombodet og sikkerheitsorganisasjonen har etablert ei formålstenleg fordeling av oppgåver. Operasjonaliseringa av styringssystemet blir koordinert med prosessen som går føre seg for verksemdsstyring. Det er etablert ein prosess for internkontroll av sikkerheit og beredskap og det er gjennomført mange internkontrolltiltak i 2021. Seksjon sikkerheit og beredskap har også hjelpt til med å etablere tilsvarande prosess for verksemdsstyring. Sikkerheitsorganisasjonen har hatt regelmessige møte gjennom året. Alle styrande dokument som skal godkjennast av verksemdsleiar, blir først tatt inn i fagrådet for sikkerheit, beredskap og personvern for gjennomgang og kvalitetssikring. Operasjonaliseringa av styringssystemet vil halde fram utover i 2022, og det vil vere fokus på kontinuerleg forbetring.
Direktoratet har jobba med risikostyring gjennom heile året, og det har vorte gjennomført mange risikovurderingar av system og tenester. Det er etablert eit risikoregister som er under kontinuerleg oppdatering ift. definerte tiltak.
Sikkerheit- og beredskapssjef og personvernombod har gjennomført faste kvartalsvise møte med veksemdsleiar.
Alle nytilsette har delteke på kurs i sikkerheit, personvern og beredskap. I samband med sikkerheitsmånaden i oktober hadde vi fleire digitale aktivitetar i form av foredrag, innlegg frå direktør og deltakarar i sikkerheitsorganisasjonen, quiz og faglege innlegg, i tillegg til informasjon på skjermar og fysiske plakatar, og dessutan effektar i form av koppar, drikkeflasker og refleksband. I tillegg har det regelmessig vorte lagt ut informasjon om sikkerheit og personvern på samhandlingsverktøyet vårt, Workplace, for å styrkje kompetansen og kulturen i organisasjonen innanfor sikkerheit- og personvernområdet.
Avvik og sikkerheitshendingar blir gjennomgått regelmessig for å sikre at restavvik er fjerna, og for å analysere rotårsak og vurdere om det er behov for ytterlegare tiltak. Direktoratet for e-helse jobbar kontinuerleg med å sikre gode rutinar for hendingshandtering og beredskap i heile livssyklusen til tenestene, programma og prosjekta våre.
Planverket til direktoratet for beredskap blir oppdatert kontinuerleg. Direktoratet for e-helse deltok i Nasjonal Helseøving 20 og gjennomførte i den samanheng ei intern beredskapsøving med eit scenario om cyberangrep mot Helsedataservice i januar 2021. Direktoratet har beskrive dei verksemdskritiske tenestene og prosessane sine med detaljar rundt ressursbehov og tilgjengelegheitskrav til tenestene. Dette er eit godt grunnlag for verdivurdering og prioritering av dei verksemdskritiske tenestene våre som vi vil jobbe vidare med i 2022.
I Direktoratet for e-helse er det høgt medvit om personvern i arbeidet til direktoratet ut mot sektoren og i rolla som databehandlar for personopplysningar frå helseregister. Direktoratet er bemanna med høy fagkompetanse for å vareta desse oppgåvene. I rolla som behandlingsansvarleg på andre område (dataansvarleg utanfor helselovgininga), er nok Direktoratet for e-helse meir samanliknbart med andre forvaltningsorgan når det gjeld ressursar til og medvit om personvernrelaterte oppgåver. Godt samarbeidsklima og eit ISMS som blir tilpassa i tråd med behova, gir gode grunnføresetnader for å jobbe vidare med personvern internt i direktoratet og styrkje dette arbeidet.
Det har vore tre innmelde avvik knytt til personvern. Ingen av desse har ført til at personopplysningar har komme på avvegar til personar utan teieplikt. Ingen av avvika har medført risiko for personvernet som har gitt grunnlag for å melde dei til Datatilsynet.
Det har vore gjennomført to direktørmøte med Datatilsynet i 2021. I desse møta blir det utveksla informasjon om aktivitetar som går føre seg, og problemstillingar kan drøftast.
I 2021 har konsekvensane av Schrems II-dommen kravd mykje merksemd. Framdrifta på arbeidet med rutinar, rettleiing, internkontroll og kvalitetssikring knytt til personvern har dermed gått treigare enn ønskjeleg. Dette arbeidet vil ha auka fokus i 2022.
Økonomi
Direktoratet for e-helse er fullservicekunde av Direktoratet for økonomistyring (DFØ) for rekneskap, lønn og reiseadministrasjon.
Det blir utarbeidd månadlege økonomirapportar som inneheld rekneskap, budsjett og prognose, og dessutan utvalde nøkkeltal som timeforbruk, konsulentandel og årsverk. Rapporten blir samanstilt på direktoratsnivå og behandla i leiarmøtet. Alle kostnadsleiarar har tilgang til rapportar i DFØs rapporteringssystem Økonomi info. I tillegg blir det utarbeidd rapportar på divisjon og avdelingsnivå for ulike behov.
Direktoratet for e-helse skal ha ein rekneskap med høg kvalitet som synleggjer den faktiske kostnaden både på kostnadsstader og prosjekt. I tillegg til å følgje opp divisjonar og avdelingar nyttar direktoratet ein økonomimodell som gjer at prosjekt og aktivitetar kan følgjast opp på faktisk ressursbruk. Dette gir god styringsinformasjon til leiing og prosjektleiarar, slik at dei er i stand til å gjere gode prioriteringar og ta gode avgjerder.
Det blir i tillegg arbeidd med å forbetre oppfølging og rapportering på hovudmål og delmål som er fastsett for kommande periode, og dessutan rapportering på andre verksemdsstyringsaktivitetar.
Direktoratet for e-helse har ein høg andel e-faktura (EHF). I 2021 var 93 % av mottekne fakturaer i Direktoratet for e-helse elektroniske.
Innkjøp
Direktoratet for e-helse har i 2021 vidareført arbeidet med å forbetre praksis på innkjøpsområdet. Det er gjennomført ein internrevisjon av innkjøpsområdet i andre kvartal 2021 og ein intern risikoog sårbarheitsanalyse i tredje kvartal 2021. Saman med tilrådingane frå Riksrevisjonen i deira undersøking av innkjøp av konsulenttenester i Direktoratet for e-helse (vedlegg 4 til dokument 3:14 /2020-2021), har dei interne revisjonane danna grunnlag for ein handlingsplan for forbetring av praksis på innkjøpsområdet, med 34 konkrete tiltak.
Den sentrale innkjøpsfunksjonen i direktoratet er flytta organisatorisk og styrkt. Det er etablert eit team innkjøp i avdeling juss og informasjonssikkerheit, som rapporterer direkte til avdelingsdirektør. I løpet av første kvartal 2022 vil dette teamet ha tre fulltidstilsette medarbeidarar. Med auka kapasitet og kompetanse vil behovshavarane få meir bistand når innkjøp skal gjennomførast. Samarbeidet med innkjøpsfunksjonen ved felles tenestesenter for helseforvaltninga i Norsk helsenett SF, er også utvida.
Anskaffelsesstrategi for Direktoratet for e-helse 2021-2023[36] er vedteken og ei innkjøpshandbok som dokumenterer korleis innkjøpsprosessar skal gjennomførast, er utarbeidd. Handboka inneheld også oppdaterte og kvalitetssikra retningslinjer og rutinebeskrivingar. Opplæring av tilsette som deltek i innkjøpsarbeid er sett i gang og det interne kunnskapsbiblioteket er oppgradert med juridisk kvalitetssikra rettleiing og oppdaterte malar. Tiltak for betre styring og kontroll av innkjøpsprosessane er også sett i verk. I 2022 vil opplæring av medarbeidarar som er involverte i innkjøp, bli prioritert. Gjennom praktisk erfaring med nye retningslinjer og malar vil behov for ytterlegare rettleiing og kontrolltiltak bli vurdert. Kontinuerleg forbetring er ei målsetjing.
Sjå nærare omtale ovanfor rundt innkjøp i tilknyting til Tillegg til tildelingsbrev nr. 5 Oppfølging av Riksrevisjonens undersøkingar av Éin innbyggjar – éin journal; styring og innkjøp.
Arbeidsmiljø og likestilling
Koronapandemien medførte at dei tilsette jobba heimanfrå store delar av 2021. Leiarane følgde opp gjennom tett ein til ein dialog, og det var møte i arbeidsmiljøutvalet (AMU) nesten kvar månad. Det vart gjennomført årlege HMS-møte og dessutan tre pulsmålingar. Den siste målinga var meir omfattande for å kompensere for at direktoratet ikkje kunne gjennomføre medarbeidarundersøkinga på grunn av forseinkingar i utviklinga av nytt verktøy. Pulsmålinga som vart gjort i november då det var mindre grad av heimekontor, viste ei generell positiv utvikling. Dei aller fleste tilsette er tilfredse og engasjerte i arbeidet sitt. Sjukefråværet var 3,9 % i 2021. Periodevis var arbeidsbelastninga relativt høg.
Inkluderingsdugnaden
Direktoratet skal utvikle rutinar og arbeidsformer for å nå målet til regjeringa om at 5 % av alle nytilsette skal vere personar med hol i CV eller nedsett funksjonsevne. Lista viser status pr. 31.12.2021.
Tal på nytilsette med oppstart i 2021 (inkl. vikarar og midl. tilsette): 63 personar
Tal på nytilsette som har kryssa av for nedsett funksjonsevne: 2 personar (3,2%)
Tal på nytilsette som har kryssa av for hol i CV: Ingen
Tal på fast tilsette etter tre-årsregelen med nedsett funksjonsevne/hol i CV: Ingen vart tilsett etter 3-årsregelen
Tal pål lærlingar med nedsett funksjonsevne eller hol i CV: Direktoratet hadde ingen lærlingar
Tal pål deltakarar i traineeprogrammet: Direktoratet hadde ingen deltakarar
I handlingsplanen til direktoratet for inkluderingsdugnaden er eitt av tiltaka å nytte traineeprogrammet i staten. Hausten 2021 sette vi ein ambisjon om å utlyse minst éi stilling per halvår innanfor programmet, føresett eit framleis høgt rekrutteringstempo. Ei slik stilling vart utlyst i november 2021 og fylt i januar 2022. Vi har også ein ambisjon om å tilby arbeidstrening for ein person via NAV i 2022.
1040 personar søkte ledig stilling i direktoratet i 2021. Ca. 60 av desse (5,8 %) var i målgruppa for inkluderingsdugnaden. (41 søkjarar oppgav hol i CV og 19 oppgav nedsett funksjonsevne. Enkelte kryssa av i begge kategoriar). Direktoratet opplever å ha gode rutinar for å vurdere søkjarane i målgruppa, og fleire har vorte kalla inn til intervju. To av 63 nytilsette var i målgruppa for inkluderingsdugnaden i 2021, og vi nådde dermed ikkje 5 %-målet.
Auke talet på lærlingar i offentlege verksemder
I samarbeid med opplæringskontoret for statlege verksemder i Oslo og Akershus vart det i 2017 vurdert om direktoratet kunne ta inn lærlingar. Konklusjonen vart at direktoratet ikkje kunne godkjennast som lærebedrift innan faga som vart anbefalte. Vi reknar med at forholda som gjer at direktoratet ikkje kunne godkjennast som lærebedrift, er uendra. For IKT servicefag har vi framleis ikkje intern IT-brukarstøtte, då vi kjøper denne tenesta frå Norsk helsenett SF. Når det gjeld kontorog servicefag, kjøper vi også tenester frå Norsk helsenett SF. Vi har i tillegg ikkje sentralbord, resepsjon eller anna forkontorarbeid som er ein stor del av opplæringsplanen innan kontor- og servicefag. Vi kan derfor ikkje bidra med tilfredsstillande opplæring på desse områda. I 2022 kan det gjerast ei vurdering av om andre fag kan vere aktuelle for å bli godkjent som lærebedrift.
Fotnotar
[36] Anskaffelsesstrategi for Direktoratet for e-helse 2021-2023 er tilgjengeleg her