Kapittel 4Styring og kontroll i virksomheten

Overordnet vurdering av styring og kontroll

Helsedirektoratets styres gjennom instruks, årlige tildelingsbrev og faste møter med etatsstyrer. Direktoratets totale oppgaveportefølje består av både faste oppgaver, tidsavgrensede oppgaver og spesielle oppdrag i tillegg til direktoratets egeninitierte oppgaver. Tildelingsbrevet for 2022 besto av 62 spesielle oppdrag og 78 tilleggsoppdrag ble mottatt gjennom året. I tillegg har direktoratet hatt en rekke oppdrag fra tidligere år med varighet inn i 2022 som er videreført. Oppgavene ivaretas av den enkelte divisjon med tilhørende avdelinger. Helsedirektøren har tydeliggjort sine føringer, ansvar og myndighet i mål- og disponeringsskriv til divisjonsdirektørene. Virksomhetsstyringsverktøyet PULS er Helsedirektoratets sentrale verktøy for planlegging, budsjettering, styring og rapportering, og brukes som utgangspunkt for all oppfølging av Helsedirektoratets virksomhetsplan. Disse styrende dokumenter og styringsverktøy gir direktoratet et godt rammeverk for styring og kontroll av egen virksomhet.

Gjennom 2022 ble det gjennomført totalt to fagmøter og to etatsstyringsmøter mellom etatsstyrer (HOD) og virksomhetsledelsen i direktoratet. Dette oppleves som en god arena for samhandling. 

I Tildelingsbrevet for 2022 har direktoratet fått ny målstruktur med tilhørende indikatorer (vurderingskriterier, nøkkeltall og styringsparametere). Vår vurdering er at dette vil ta oss et godt stykke på vei mot ytterligere mål- og resultatstyring. Det har gjennom 2022 blitt gjennomført et implementeringsarbeid i Helsedirektoratet for å sikre god forankring i alle divisjoner.

Covid19-pandemien preget organisasjonen i starten av 2022, men beredskapsorganisasjon og øvrig tilpasninger i organisasjonen ble bygget ned i takt med avvikling av tiltak.

Nærmere omtale av vesentlige forhold

Helsedirektoratet valgte i 2022 å leie inn bistand for gjennomføring av prosjekt Informasjonsforvaltning for å kunne skaffe seg et grunnlag for videre organisering og etablering av informasjonsforvalterfunksjonen. Ila året er det levert utkast til strategi for 2022-2024, nåsituasjonsanalyse inkl mål for strategiperioden, samt en omfattende tiltaksliste. Gjennom høsten ble fokuset til prosjektet tiltak og leveranser inn mot M365 samt utarbeidelse en overordnet lagringsveileder for direktoratet. Disse tiltakene vil være viktig grunnelementer i bedre forvaltning av informasjon og dokumentasjon.

I 2022 har Helsedirektoratet gjennomført anskaffelsesløp for Kvalitetssystem. Dette vil være et viktig verktøy for forbedring og oppfølging av rammeverk for internkontroll og være et sentralt tiltak for god informasjonsforvaltning.

Fra april 2022 ble det etablert en egen avdeling for sikkerhet. Dette innebar at direktoratet samlet ansvaret for informasjonssikkerhet, fysisk sikkerhet, personell sikkerhet samt organisatorisk sikkerhet i en divisjon under en avdelingsdirektør. Dette vil være et viktig tiltak for mer helhetlig styring av sikkerhetsarbeidet i direktoratet.

Internkontroll

Internkontrollarbeidet er en kontinuerlig prosess, som skal bidra til målrettet effektiv drift, pålitelig rapportering og sikre etterlevelse av eksterne krav i lover, forskrifter og Stortingets vedtak og forutsetninger. Vi ser på internkontroll som et helhetlig arbeid som innebærer alle vesentlige prosesser, inkludert sikkerhet, personvern og HMS.

Helsedirektoratet arbeider målrettet og systematisk med å legge til rette for effektiv internkontroll i tråd med krav i Reglement for økonomistyring i staten.

I 2022 har vi jobbet for integrering mellom internkontroll og avvik- og forbedringsarbeid, og på den måten jobbe for kvalitetsstyring og kontinuerlig forbedring sett i sammenheng. Vi har videre arbeidet med å knytte til oss en leverandør på kvalitetsstyring, som kan støtte direktoratets utvikling av kvalitetsstyring i vesentlige prosesser. Arbeidet har pågått både i direktoratet på tvers av fagområder, også på sektornivå på tvers av virksomheter under Helse- og omsorgsdepartementet.

Internrevisjon

Internrevisjonen er en uavhengig objektiv bekreftelses- og rådgivningsfunksjon for Helsedirektoratet underlagt Helsedirektør. Den skal gjennom en systematisk og strukturert metode, samt avgivelse av bekreftelser, bidra til forbedringer i risikostyring, internkontroll og virksomhetsstyring og inngå som en del av direktoratets system for styring og kontroll, Internrevisjonens ansvarsområder omfatter Helsedirektoratet, Helfo, Pasient og brukerombudene, og har revisjonsrett ovenfor NHN og andre leverandører i henhold til avtale. Internrevisjonen består av et internt årsverk og har en fast samarbeidsavtale med ekstern leverandør for leveranser av internrevisjonstjenester.

Internrevisjonen har i løpet av 2022 gjennomført sine aktiviteter i henhold til fastlagt og godkjent plan for internrevisjonen. Hovedfokuset i 2022 har vært oppfølging og implementering av anbefalinger fra tidligere leverte revisjoner med særlig fokus på informasjonssikkerhet.

Internrevisjonen leverer både ordinære revisjonsoppdrag samt bistandsoppdrag/rådgivningsoppdrag for å styrke styring og kontroll. I 2022 gjennomført internrevisjonen følgende revisjonsoppdrag: 1. Prosjekt-, program og porteføljestyring i Hdir, 2. Informasjonssikkerhet i Hdir, 3. Informasjonssikkerhet i Helfo, 4. Anskaffelser i Hdir og 5. Leveranddørrevisjon av informasjonssikkerhet NHN. I tillegg ble det levert tre bistandsoppdrag: 1. Bistand – strategi for helserefusjoner, 2. Gjennomgang av organiseringen av sikkerhet i Hdir, Helfo og POBO og 3. Nullpunktsanalyse internkontroll/kvalitetssystem i Hdir. Internrevisjonen utarbeider egen årsrapport med nærmere beskrivelse av sin virksomhet i året.

Riksrevisjonen

Resultater fra Riksrevisjonens finansielle kontroll for 2022 foreligger ikke på tidspunktet årsrapporten for 2022 utarbeides. Revisjonsberetningen for 2022 blir offentliggjort på www.helsedir.no når den er mottatt.

Revisjonsberetningen for 2021 konkluderte med at Helsedirektoratets årsregnskap ga et dekkende bilde av virksomhetens disponible bevilgninger, inntekter, utgifter og kapitalposter per 31.desember 2021, i samsvar med regelverk for økonomistyring i staten.

Helsedirektoratet jobber systematisk med oppfølging av forvaltningsrevisjonens rapporter, for å tilbakeføre verdifull informasjon fra Riksrevisjonens undersøkelser i vårt videre arbeid. Rapporter fra 2022 som ligger i et oppfølgingsløp per 31.12.22 er følgende:

• Undersøkelse av tilskudd til organisasjoner
• Helsedirektoratets etterkontroll av helserefusjoner
• Undersøkelse av myndighetenes innsats mot vold i nære relasjoner
• Undersøkelse av helse-, opplærings- og velferdstjenester til innsatte i fengsel

Porteføljestyring

Helsedirektoratet har siden 2016 hatt ett eget regime for digitaliseringsprosjekter gjennom ett eget porteføljestyre, prosjektene er en delmengde av den totale oppdrag- og oppgaveporteføljen til helsedirektoratet og består av både oppdrag via tildelingsbrev og egeninitierte oppgaver. Porteføljestyret ledes av assisterende helsedirektør, etter delegering fra helsedirektøren, og styrets medlemmer er divisjonsdirektørene samt direktør i Helfo. Styret har en porteføljeansvarlig og ett porteføljekontor som ligger organisert under divisjon virksomhetsstyring og avdeling plan og styring. 

IKT porteføljen besto i 2022 av ca 55 prosjekter, der flere er flerårige, og hadde en total årlig investering på ca. 369 millioner kroner (som dekker da både interne og eksterne kostnader samt på noen områder og tilskudd ut mot helsesektoren). Ett subsett av disse prosjektene (15) igjen er og en del av den Nasjonale porteføljen forvaltet av Direktoratet for eHelse. 

Tilskuddsforvaltning og evalueringer av tilskuddsordninger

Tilskudd er et sentralt virkemiddel for regjeringens helsepolitiske mål. I 2022 hadde Helsedirektoratet ansvar for forvaltningen av 177 tilskuddsordninger. Dette er en nedgang fra 187 ordninger i 2021. Elleve av ordningene var delegert til andre tilskuddsforvaltere: syv tilskuddsordninger ble forvaltet av statsforvalterne, to ordninger av Aldring og helse (nasjonalt kompetansesenter), en ordning av fylkeskommunene samt en ordning av Stiftelsen Dam. Nedgangen i totalt antall ordninger skyldes bl.a. utfasing av tilskuddsordninger knyttet til covid19. Flere av disse tilskuddsordningene var delegert statsforvalterne.

Det samlede budsjettet for tilskuddsordningene var på 19,22 mrd. kroner, en nedgang på ca. 10 prosent fra 2021 (21,46 mrd. kroner). Programkategorien "Særlig ressurskrevende helse- og sosiale tjenester" stod for 63 prosent av tilskuddsbudsjettet for 2022 (12,2 mrd. kroner). Andre kapitler med betydelig andel av budsjettet var "Psykisk helse og rusarbeid" (11 prosent), "Omsorgstjenester" (10 prosent) og "Primærhelsetjenester" (9 prosent), jf. Figur 4‑1 Tilskuddsbudsjettet 2022 fordelt på fagområder. 

Kommunene mottok langt den største andelen av tilskuddsmidlene: ca. 83 prosent medregnet "Særlig ressurskrevende helse- og sosiale tjenester" (ca. 50 prosent av andre ordninger). Deretter følger frivillige og ideelle organisasjoner, herunder stiftelser, som mottar ca. 11 prosent av tilskuddsmidlene. De resterende 6 prosentene fordeler seg på fylkeskommuner, universiteter og høyskoler helseforetak/regionale helseforetak, bedrifter og privatpersoner. 

Om lag 61 prosent av tilskuddsordningene var i 2022 øremerket spesifikke mottakere eller grupper av mottakere i St.prp. 1(S), mens budsjettet utgjorde ca. 12 prosent av tilskuddsbudsjettet. Det er ventet nedgang i denne andelen på bakgrunn politiske føringer i Prop. 1S (2022-2023).

Tilskuddordninger der tilskudd ble tildelt etter åpen konkurranse hadde et samlet budsjett for 2022 på cirka 1,3 mrd. kroner. Av dette utgjorde om lag 38 prosent åpne konkurranser forbeholdt frivillige og ideelle organisasjoner, ca. 38 prosent var forbeholdt kommunal sektor, og om lag 24 prosent var åpent for et bredere spekter av mottakere. 

Helsedirektoratet hadde i 2022 særlig oppmerksomhet på styrket internkontroll. Det ble gjennomført riskonanalyser av samtlige tilskudds tilskuddsordninger. Risikoanalysene er del av grunnlaget for både kontroller og evalueringer. Arbeidet med bedret kontroll av innsendt rapportering på forbruk og måloppnåelse ble videreført fra 2021. Stedlige kontroller ble utvidet til å omfatte frivillig og ideell sektor i tillegg til kommuner: det ble utført stedlige kontroller i elleve kommuner og hos 14 mottakere innen frivillig og ideell sektor. Det ble også gjort femten etterkontroller av rapporteringer fordelt på fem tilskuddsordninger, og tre mottakere per ordning. Den styrkete internkontrollen omfatter også mer systematisk oppfølging av varslinger, med ny prosedyre.

 Helsedirektoratet gjennomfører evaluering av tilskuddsordninger basert på en vurdering av vesentlighet og risiko, måloppnåelse, årstall for regelverket, om ordningen er evaluert tidligere, politisk og samfunnsmessig aktualitet, potensiale for vurdering på tvers av ordninger (klyngeevaluering) og overføringsverdi. Tilgjengelige budsjettmidler på aktuelt kapittel sett opp mot estimert omfang av evalueringene, setter rammene for hvor mange evalueringer som kan gjennomføres per år.

I løpet av de siste 6 årene (2017-2022) er det utført 21 evalueringer av 22 tilskuddsordninger. Med unntak av 2017, da det bare ble utført en evaluering, er det per år gjort mellom 4 og 6 evalueringer. Det i samme periode også gjennomført 18 følgeevalueringer av ulike satsinger og handlingsplaner, der en eller flere tilskuddsordninger inngår.

Det gjøres også følgeevalueringer av planer, programmer, piloter og kampanjer der tilskuddsordninger inngår, og som har ulikt omfang i innhold og tidsperiode. I 2022 ble følgeevaluering av pilotprosjekt på legevaktfeltet sluttført, mens følgeevaluering som pågår også i 2023 er:

• Pilot for strukturert tverrfaglig oppfølging – Oppfølgingsteam
• Tiltaksutvikling innen program for folkehelsearbeid i kommunene
• Leve hele livet (KS)

Sikkerhet og beredskap i helsedirektoratet

I begynnelsen av Q2 ble avdeling sikkerhet etablert i Stab virksomhetsstyring. Dette innebar at Hdir samlet ansvaret for informasjonssikkerhet, fysisk sikkerhet, personell sikkerhet samt organisatorisk sikkerhet i en divisjon under en avdelingsdirektør. Avdelingen ble gitt det samlede ansvaret for styrende dokumenter innen sikkerhet, etablere en systematisk sikkerhetsstyring, og det strategiske ansvaret for sikkerhetsområdet med tilhørende risikostyring for sikkerhet i Helsedirektoratet, pasient og brukerombudene og Helfo. I 2022 har vi har gjennom oppdatering av policy for sikkerhet etabler en felles tilnærming til sikkerhetsarbeidet som også inkluderer et samlet målbilde for sikkerhetsarbeidet.

Hdir sitt systematiske sikkerhetsarbeid for informasjonssikkerhet, personellsikkerhet og fysisk sikkerhet søker å følge beste praksis herunder 27001 rammeverket. ISO 27001 er en internasjonal standard som setter forventninger til informasjonssikkerhets ledelse, og det er gjennom 2022 gjennomført flere aktiviteter som har økt integreringen av sikkerhetsarbeidet med virksomhetsstyringen. Vi har også forbedret tertialvis rapportering på sikkerhetstilstanden på avdelingsnivå gjennom blant annet å definere tydelige mål for sikkerhetsarbeidet som understøtter virksomhetsoppgaver og samfunnsoppdrag.

Gjennom 2022 har direktoratet benyttet tid og ressurser på å identifisere og forankre en metode for gjennomføring av verdivurdering. Direktoratet har på slutten av året en oversikt over de verdiene med tilhørende støttefunksjoner som er sentrale for utførelsens av Hdir sine virksomhetsoppgaver og samfunnsoppdrag. Direktoratet vil i sitt videre arbeid legge de identifiserte verdiene med tilhørende støttefunksjoner til grunn for det systematiske sikkerhet og beredskapsarbeidet, denne tilnærmingen styrker Hdir sitt systematiske sikkerhetsarbeid.

Direktoratet har i 2022 gjennomført flere sikkerhetstester av IKT tjenester og infrastruktur for å øke robustheten i vår IKT portefølje. Som følge av situasjonen i Europa har også vår hoved driftsleverandør Norsk helsenett økt sitt aktivitetsnivå, og gjennomførte i samarbeid med oss flere aktiviteter for å sikre IKT systemene sin motstandsdyktighet. Det er også gjennomført et eget arbeid knyttet til tilgangsstyring til IKT systemer og tjenester. Et resultat av arbeidet er oppdaterte retningslinjer for tilgangsstyring i både Hdir og Helfo.

Direktoratet vil i 2023 arbeidet systematisk videre med å inkludere Helfo og Pobo i direktoratets helhetlige sikkerhetsarbeid.

Personvern

Personvern er viktig å ivareta i direktoratets prosesser for å sikre tillit i befolkningen. Personvern ivaretas av den enkelte medarbeider i egen oppgaveløsning, men støttes av personvernombud og ressurspersoner i et tverrfaglig team (lag). Personvernombud er også ombud for Helfo og Pobo, og det er tett dialog om aktiviteter og problemstillinger. 

Direktoratet har i 2022 hatt flere aktiviteter på området. Et sentralt fokusområde vært internkontroll. Det har blitt vedtatt en egen Policy for personvern, og felles føringer i retningslinjer og malverk videreutviklet. Rapportering tertialsvis til ledelsen har blitt videreutviklet som en helhetlig del av virksomhetsstyringen. Organisasjonen har fulgt opp internrevisjonsrapporter som angår personvern, og den helhetlige revisjonsrapporten innen personvern i direktoratet fra 2020 er avsluttet.

For å sikre at personvern ivaretas i prosesser og løsninger, er det sentralt at direktoratets oversikt over håndtering av personopplysninger (behandlingsprotokoller) er gode og oppdaterte. En viktig aktivitet i 2022 har vært helhetlig gjennomgang og oppdatering av eksisterende protokoller. Denne gjennomgangen vil, i tillegg til å ha økt bevisstheten i organisasjonen, danne et godt grunnlag for å sikre etterlevelse av krav og føringer i enkeltprosesser, og legge til rette for integrering mot nytt internkontrollsystem (ledelsessystem) i 2023/2024.

Et annet av direktoratets fokusområder innen personvern i 2022 har vært økt kompetanse. Det har blitt innført digital opplæring for nyansatte (nanokurs), gjennomført foredrag og dilemmatrening i flere miljøer, samt gjennomført mer avansert opplæring i samarbeid med Norsk Helsenett og NHN. Kompetansehevingsaktiviteter vil bli videreført og videreutviklet i 2023.